GitLabは10月21日、Community EditionとEnterprise Editionの19.5.1、19.4.3、19.3.6、19.2.9、19.1.9、19.0.10、18.11.13を公開した。中心はCVE-2026-110264で、特別に作られた正規表現をコンパイルする際の整数オーバーフローにより、条件を満たすと未認証の利用者がサーバ上で任意のコードを実行できる。CVSS 3.1は10.0。影響範囲は7.0から、各系統の修正版の直前までだ。
GitLab.comは修正済みの版で動いている。Dedicatedは19.3.5-internal0、または19.4.2-internal0以降なら追加対応は不要で、それ以外の自己管理は更新が必要になる。今回のパッチはセキュリティ修正12件を含み、Criticalが1件、Highが2件、Mediumが5件、Lowが4件だ。Highの1件は、OmniAuthのSAMLとLDAPの自動リンクが両方有効なとき、認証済み利用者が相手の操作なしにLDAPアカウントを乗っ取れる問題で、CVSSは8.2。もう1件は、OAuthとOIDCの発見情報キャッシュを未認証で汚染し、一部のフローを外部サーバへ向けられる問題で、CVSSは7.5だ。
自己管理の担当者は、インターネットに出ているインスタンスから更新する。GitLabは悪用試行の検知として「Onigmo native worker crash」と「Org mode render error burst」の2つを出している。19.4.3と19.3.6はアップグレード中に通常のデータベース移行が走り、19.4.3はデプロイ後の移行もある。単一サーバは移行が終わるまで停止し、複数台はゼロダウンタイムの手順に従えば停止せずに適用できる。