Den 21 oktober släppte GitLab akuta säkerhetsuppdateringar för en sårbarhet med högsta allvarlighetsgrad som kan göra det möjligt för angripare utan konton att köra kod på självhanterade servrar.
GitLab uppmanade berörda administratörer att uppgradera. Sårbarheten har beteckningen CVE-2026-110264 och ett CVSS-värde på 10,0. Felet beror på en heltalsöverskridning, som uppstår när ett tal blir för stort när GitLab omvandlar ett särskilt utformat textmatchningsmönster till en form som programvaran kan använda.
Sårbarheten påverkar GitLab Community Edition och Enterprise Edition ända tillbaka till version 7.0, som släpptes 2014. Det betyder inte att sårbarheten har utnyttjats under hela den perioden. GitLab säger att felet kan göra det möjligt för angripare att köra valfri kod ”under vissa förhållanden”.
Företaget har inte offentligt förklarat vilka dessa förhållanden är. Den 22 oktober hade företaget inte rapporterat några kända angrepp där sårbarheten utnyttjats. De korrigerade versionerna är 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 och 18.11.13.
Administratörer som installerade GitLabs uppdatering från den 12 oktober bör ändå kontrollera vilken version de har. Den tidigare uppdateringen innehöll inte den här korrigeringen. GitLab.com har redan uppdaterats med korrigeringen.
Självhanterade installationer bör uppgraderas till den korrigerade versionen för sin versionsserie.