Десятилетняя брешь в ядре: анатомия CVE-2026-110264
Инженерам и администраторам корпоративных инфраструктур вновь приходится экстренно обновлять ключевые узлы разработки. Команда GitLab выпустила внеплановый пакет безопасности, устраняющий критическую уязвимость нулевого дня под идентификатором CVE-2026-110264. Проблема получила максимально возможную оценку по шкале CVSS - ровно 10.0 баллов из 10 возможных. Брешь позволяет неавторизованному злоумышленнику удаленно выполнять произвольный системный код на сервере, причем масштаб проблемы беспрецедентен: уязвимыми оказались буквально все редакции платформы, начиная с версии 7.0, вышедшей в далеком 2014 году.
Корень проблемы кроется не в собственной бизнес-логике платформы, а во встроенном механизме компиляции регулярных выражений Onigmo, который традиционно используется интерпретатором Ruby. Поскольку GitLab упаковывает этот низкоуровневый компонент непосредственно в свои дистрибутивы и монолитные сборки, архитектурный дефект автоматически наследовался каждым релизом на протяжении последних десяти лет. Атакующий может отправить специально сформированное регулярное выражение, вызывающее целочисленное переполнение буфера памяти, что приводит к перезаписи указателей инструкций и исполнению стороннего кода с привилегиями рабочего процесса GitLab.
Серийная охота за багами и компрометация патчей
Особую тревогу вызывает тот факт, что CVE-2026-110264 стала уже четвертой критической ошибкой удаленного исполнения кода в движке Onigmo, выявленной всего за один месяц независимым исследователем безопасности под псевдонимом joaxcar. Предыдущий экстренный апдейт закрывал схожую проблему переполнения буфера CVE-2026-97229, также получившую наивысший рейтинг 10.0. Однако тот патч затронул лишь свежие ветки, начиная с 19.2, оставив за бортом устаревшие инсталляции, а новый вектор атаки и вовсе обошел только что внедренные механизмы защиты. Ситуация усугубляется тем, что администраторы, закрывшие дыру неделей ранее, автоматически оказались в зоне риска повторно.
Более ранние бреши сентября требовали наличия хотя бы базовой учетной записи в системе, тогда как текущая угроза эксплуатируется абсолютно анонимно. Разработчики намеренно не раскрывают точные условия и маршруты API, через которые вредоносный ввод достигает уязвимого парсера. Это исключает возможность создания временных фильтров на уровне веб-серверов или WAF, оставляя единственным надежным вариантом защиты немедленную установку бинарных обновлений.
Беспрецедентный бэкпорт и эксплуатационные сложности
Регламент технической поддержки вендора строго предписывает выпуск исправлений только для текущего релиза и двух предшествующих ежемесячных веток. В текущих реалиях это покрывает версии 19.5, 19.4 и 19.3. Однако катастрофическая глубина обнаруженной бреши вынудила инженеров пойти на беспрецедентный шаг и выполнить масштабный бэкпортинг патча для устаревших сборок, включая 19.2.9, 19.1.9, 19.0.10 и даже 18.11.13. Облачный сервис GitLab.com и изолированные инсталляции Dedicated уже получили необходимые исправления в фоновом режиме, но миллионы локальных self-managed инстансов остаются под прямой угрозой компрометации.
Процедура обновления сопряжена с ощутимыми инфраструктурными рисками. Для серверов с одиночными нодами переход на ветки 19.4.3 и 19.3.6 неизбежно потребует запланированного простоя из-за выполнения тяжелых миграций базы данных PostgreSQL. Организациям с отказоустойчивыми кластерами доступен режим развертывания без прерывания обслуживания, но он требует строгой координации реплик. Наряду с главной брешью пакет закрывает опасную уязвимость захвата учетных записей при связке LDAP и SAML, а также атаку на отравление кэша в точках авторизации OAuth и OpenID Connect.
Рекомендации по мониторингу и аудит периметра
Для выявления возможных следов вторжения разработчики опубликовали сигнатуры обнаружения для фреймворка Sigma, входящего в комплекс TLDR. Администраторам рекомендовано провести аудит журналов приложений на предмет аварийных завершений нативных процессов Onigmo и аномальных всплесков ошибок при рендеринге разметки Org mode. Учитывая центральную роль репозиториев в цепочках сборки ПО, успешная эксплуатация подобной уязвимости открывает злоумышленникам прямой путь к исходному коду, секретам и автоматизированным CI/CD-пайплайнам сотен тысяч компаний по всему миру.
Развитие угроз такого масштаба наглядно демонстрирует критическую важность глубокого аудита зависимостей и сквозного мониторинга инфраструктуры. Профессионально выстроить надежный контур кибербезопасности, модернизировать корпоративный стек и устранить архитектурные уязвимости поможет агентство цифровой трансформации МАВАЛ, внедряющее передовые инженерные практики для непрерывной защиты бизнеса.
Безопасность ИТ-инфраструктуры и разработка - агентство МАВАЛ - Защитите свой ИТ-контур и проведите комплексный аудит инфраструктуры вместе с [агентством цифровой трансформации МАВАЛ](https://maval.ru/).