GitLab corrige falha crítica que permite execução de código sem autenticação

O GitLab publicou na quarta-feira versões atualizadas das edições CE e EE com correção para uma dúzia de problemas. O mais grave é a CVE-2026-110264, classificada como crítica: um integer overflow na compilação de uma expressão regular especialmente construída, que sob certas condições permite a um usuário não autenticado executar código arbitrário no servidor. São afetadas todas as versões da 7.0 até antes de 18.11.13, e as séries 19.0 antes de 19.0.10, 19.1 antes de 19.1.9, 19.2 antes de 19.2.9, 19.3 antes de 19.3.6, 19.4 antes de 19.4.3 e 19.5 antes de 19.5.1. As versões corrigidas são 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 e 18.11.13.

O pacote também corrige a CVE-2026-15723, de severidade alta. Com OmniAuth SAML e auto-linking do LDAP ativados, um usuário autenticado podia assumir uma conta existente vinculada ao LDAP, sem qualquer interação da vítima, por sanitização inadequada na busca de e-mail do LDAP. Segundo Ty Coffee, da UHY, isso complica a forense: as ações do invasor ficam registradas em nome de um funcionário legítimo. Ele também recomenda procurar instâncias esquecidas (de times, cópias de DR, empresas adquiridas), já que versões antigas estão no escopo.

Frank Dickson, da Dickson Research, observa que a falha está no tratamento de regex do Ruby (o motor Onigmo), não só no código do GitLab, então outros aplicativos Ruby podem carregar o mesmo bug. Os patches trazem migrações de banco de dados, e instâncias de nó único ficam fora do ar durante a execução. Noah Kenney, da Digital 520, chamou atenção para uma linha discreta nas notas: a remoção da flag de confiança de ferramentas MCP enviadas pelo cliente no Workhorse.

A cobertura anterior mostra um padrão. Em 15 de setembro de 2026, o CEVIU noticiou "Alerta Crítico: Vulnerabilidade CVSS 10 no GitLab sob Exploração Ativa", sobre a CVE-2026-85706, um path traversal na API de commits. Em 14 de outubro de 2026, veio "Alerta Crítico: GitLab Corrige Falha CVSS 10.0 que Permitiria Execução Remota de Código", sobre a CVE-2026-97229, um estouro de inteiro na validação de regex para configurações de CI/CD. A falha de agora é outra CVE, mas repete o tema de regex e integer overflow, dias depois da anterior. Antes, em 27 de julho de 2026, o CEVIU publicou "Vulnerabilidades Críticas no GitLab Permitem Execução Remota de Código Via Corrupção de Memória em Ruby", que já apontava problemas de memória no Ruby. A diferença é que agora o invasor não precisa estar autenticado.

Para quem opera GitLab self-managed, a leitura é que o ciclo de patches virou rotina de emergência: a fonte conta quatro falhas críticas em dois meses. Isso pede janela de atualização pré-aprovada, não negociação a cada boletim. Adiar para o fim de semana, como lembrou Dickson, é aceitar risco, e a decisão cabe a um executivo. Vale também perguntar a outros fornecedores que usam Ruby se foram afetados.