GitLab תיקנה פגיעות בציון CVSS מרבי של 10.0 שעלולה לאפשר לתוקף ללא התחברות להריץ קוד על שרת GitLab עצמאי (self-managed). זו הפגיעות הרביעית במנוע הביטויים הרגולריים בחודש האחרון, והראשונה שמשפיעה על גרסאות ישנות מאוד.
| מזהה | CVE-2026-110264 |
| מוצר | GitLab עצמאי, מגרסה 7.0 ועד טרם התיקונים שלהלן |
| חומרה | CVSS 10.0 (קריטית) |
| מנוצל בפועל | לא דווח; לא ב-KEV נכון ל-22.10.2026 |
| תיקון | 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13 |
מה קרה
לפי GitLab, הבעיה היא גלישת מספרים שלמים בזמן קומפילציה של ביטוי רגולרי שנבנה בכוונה זדונית. הרכיב המושפע הוא Onigmo, מנוע הביטויים של Ruby ש-GitLab מספקת בחבילות שלה, ולכן הפגיעות מגיעה אחורה הרבה יותר מהתיקונים הקודמים. התנאים המדויקים לניצול לא פורסמו.
התיקון של 12 באוקטובר היה גם הוא ללא אימות, אך כיסה רק גרסאות 19.2 ואילך. תיקוני 23 בספטמבר דרשו משתמש מחובר. GitLab.com כבר מעודכן.
נקודות לשים לב
- עדכן לגרסה המתוקנת בענף שלך מהטבלה. גם ענפים ישנים עד 18.11 קיבלו תיקון (18.11.13).
- אין workaround, ותנאי הניצול לא פורסמו, ולכן אי אפשר לשלול חשיפה לפי הגדרות. עדכון הוא ההגנה היחידה.
- בגרסאות 19.4.3 ו-19.3.6 יש שינויי בסיס נתונים בזמן השדרוג; בשרת בודד צפויה השבתה. בהתקנה מרובת צמתים אפשר לפעול לפי נוהל ה-zero-downtime של GitLab.
- GitLab פרסמה שני כללי זיהוי בפורמט Sigma מול לוגי האפליקציה (בין היתר "Onigmo native worker crash"); כדאי להפעיל אותם.
מקורות: The Hacker News · GitLab Patch Release 19.5.1
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
