GitLab julkaisi 21. lokakuuta hätäpäivitykset vakavuudeltaan äärimmäiseen haavoittuvuuteen, jonka avulla tilittömät hyökkääjät voivat suorittaa koodia itse ylläpidetyillä palvelimilla.
Yhtiö kehotti haavoittuvien järjestelmien ylläpitäjiä päivittämään ohjelmiston. Haavoittuvuutta seurataan tunnisteella CVE-2026-110264, ja sen CVSS-pistemäärä on 10,0. Virhe johtuu kokonaislukuylivuodosta, jossa luku kasvaa liian suureksi, kun GitLab muuntaa erityisesti muotoillun tekstin täsmäytysmallin ohjelmistonsa käyttämään muotoon.
Haavoittuvuus koskee GitLab Community Editionin ja Enterprise Editionin versioita aina vuonna 2014 julkaistuun versioon 7.0 asti. Tämä ei tarkoita, että haavoittuvuutta olisi voitu hyödyntää koko kyseisen ajan. GitLabin mukaan virheen avulla hyökkääjät voivat tietyissä olosuhteissa suorittaa mitä tahansa koodia.
Yhtiö ei ole kertonut julkisesti, mitä nämä olosuhteet ovat. Yhtiön mukaan haavoittuvuutta hyödyntävistä hyökkäyksistä ei ollut tiedossa tapauksia 22. lokakuuta mennessä. Korjatut versiot ovat 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 ja 18.11.13.
GitLabin 12. lokakuuta julkaistun päivityksen asentaneiden ylläpitäjien kannattaa silti tarkistaa käytössä oleva versio. Aiempi päivitys ei sisältänyt tätä korjausta. GitLab.com on jo päivitetty.
Itse ylläpidetyt asennukset tulee päivittää kyseisen versionhaaran korjattuun julkaisuun.