A GitLab corrigiu uma falha de gravidade máxima que permite a um invasor sem login executar código no servidor. A vulnerabilidade, catalogada como CVE-2026-110264, foi divulgada em 22 de outubro de 2026 e afeta as edições Community e Enterprise da plataforma, segundo o BleepingComputer.
A empresa recomenda que quem mantém o GitLab em servidor próprio atualize o quanto antes. O GitLab.com já roda a versão corrigida.
Índice
COMO A FALHA FUNCIONA
O problema está no compilador de expressões regulares do GitLab, o componente que interpreta e valida esse tipo de padrão em arquivos de configuração. Um estouro de inteiro ocorre quando uma expressão regular especialmente montada é compilada.
Em determinadas condições, isso permite que um usuário não autenticado rode comandos arbitrários no servidor. Na prática, o invasor não precisa de conta para tentar o ataque.
QUEM ENCONTROU E QUAIS VERSÕES TRAZEM A CORREÇÃO
O pesquisador que usa o apelido joaxcar reportou o problema pelo programa de recompensas da GitLab na plataforma HackerOne. A empresa lançou correções para várias linhas de versão: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 e 18.11.13.
Clientes do GitLab Dedicated nas versões 19.3.5-internal0 ou 19.4.2-internal0, ou posteriores, já têm a correção. A reportagem não informa o intervalo exato de versões vulneráveis.
HÁ EXPLORAÇÃO EM ANDAMENTO
O BleepingComputer não afirma que essa falha já tenha sido explorada em ataques reais. Ainda assim, a Shadowserver Foundation acompanha mais de 2.700 instâncias do GitLab CE expostas à internet. A organização não diz quantas são iscas ou já estão protegidas.
O HISTÓRICO RECENTE DA PLATAFORMA
O mesmo pesquisador reportou a CVE-2026-97229, outra falha de execução remota com nota 10 de 10, no compilador de expressões regulares dos pipelines de CI/CD. A GitLab a divulgou cerca de dez dias antes.
Em setembro, a empresa corrigiu a CVE-2026-85706, uma falha de travessia de diretório de gravidade máxima que permite a invasores sem login ler dados sensíveis, como credenciais. A agência americana CISA incluiu essa falha no catálogo de vulnerabilidades exploradas um dia após a divulgação e deu três dias para que órgãos federais aplicassem a correção.
Desde novembro de 2021, a CISA já apontou cinco falhas do GitLab exploradas em ataques reais. Uma delas foi usada em ataques de ransomware.
O QUE EQUIPES BRASILEIRAS DEVEM FAZER
Empresas que hospedam o GitLab em servidor próprio devem conferir a versão instalada e migrar para uma das versões corrigidas. Quem usa o GitLab.com ou o Dedicated atualizado não precisa agir.
Como a plataforma guarda código-fonte e credenciais de pipelines, um servidor comprometido pode abrir caminho para outros sistemas da empresa.
PERGUNTAS FREQUENTES
O que é a CVE-2026-110264?
É uma falha de gravidade máxima no compilador de expressões regulares do GitLab que permite execução remota de código sem autenticação.
Quais versões do GitLab têm a correção?
As versões 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 e 18.11.13.
Usuários do GitLab.com precisam atualizar algo?
Não. O GitLab.com já usa a versão corrigida.
A falha já foi explorada por criminosos?
A reportagem não diz que esta falha tenha sido explorada. Outras falhas recentes do GitLab, porém, já foram alvo de ataques reais.
