Целочисленное переполнение в GitLab открывает путь к удалённому выполнению кода

GitLab содержит уязвимость BDU:2026-17391 (CVE-2026-110264), связанную с целочисленным переполнением. При этом атакующий может использовать её удалённо, без учётных данных и без действий пользователя, чтобы выполнить произвольный код на сервере. Базовая оценка CVSS 2.0 и 3.1 достигает 10. Затронуты самостоятельно развёрнутые установки GitLab, а эксплойт уже доступен публично.

Целочисленное переполнение CVE-2026-110264 в GitLab

Проблема относится к классу CWE-190, то есть к целочисленному переполнению или циклическому сдвигу. Эксплуатация связана с манипулированием структурами данных. При определённых входных данных вычисления выходят за границы допустимых значений. В результате память обрабатывается некорректно, и атакующий получает возможность повлиять на выполнение кода. Для атаки не нужны ни логин, ни пароль, ни переход по ссылке. Поэтому достаточно сетевого доступа к уязвимому сервису. Вектор CVSS 3.1 указывает на высокие последствия для конфиденциальности, целостности и доступности. Под угрозой и данные, и работоспособность системы.

Для GitLab последствия шире одного сервера. Платформа хранит исходный код, настройки проектов, ключи и параметры конвейеров сборки. Если атакующий выполняет код на узле, он получает доступ к репозиториям. После этого он может изменить результаты сборки или добраться до связанных систем. Поэтому уязвимость важна не только для разработчиков. Она касается команд, которые используют GitLab как центральную точку работы с кодом и автоматизацией.

Публичный эксплойт меняет картину. Например, в открытом доступе есть сканер и демонстрационный эксплойт для CVE-2026-110264. Готовые инструменты упрощают проверку чужих установок и снижают требования к подготовке атаки. При оценке 10 по CVSS это делает срочность обновления особенно высокой. Впрочем, срочность определяется не только рейтингом. Широкий диапазон уязвимых версий означает, что под удар попадают и старые развёртывания, которые давно не обновляли.

В Банке данных угроз безопасности информации (BDU) указаны диапазоны от 7.0.0 до 18.11.13, а также ветки 19.0-19.5. Производитель подтвердил проблему и ссылается на выпуск с исправлениями 19.5.1. При этом в BDU диапазон для ветки 19.5 заканчивается на 19.5.1. Поэтому точную сборку лучше сверять с бюллетенем GitLab. Для старых установок это напоминание важнее: они часто остаются в работе годами.

Администраторам самостоятельно развёрнутых установок нужно проверить версию. Если она попадает в перечисленные диапазоны, ориентир для обновления - GitLab 19.5.1. Перед установкой исправлений сохраните резервную копию. После обновления проверьте журналы на подозрительные запросы и необычные запуски конвейеров. До перехода на исправленную сборку ограничьте доступ к веб-интерфейсу и программному интерфейсу GitLab из недоверенных сетей. Это не заменяет обновление, но снижает поверхность атаки.

Уязвимость с максимальной оценкой CVSS и публичным эксплойтом требует инвентаризации установок. Старые версии GitLab часто остаются во внутренних сетях, хотя содержат известные ошибки. Проверка версий и отказ от выхода сервиса в интернет без необходимости уменьшают окно риска. Исправление уже доступно, поэтому задержка зависит не от вендора, а от скорости обновления в организациях.

Целочисленное переполнение CVE-2026-110264 в GitLab

Ссылки