Lỗ hổng nghiêm trọng CVE-2026-110264: RCE trên GitLab tồn tại suốt 12 năm

• Lỗ hổng nghiêm trọng: CVE-2026-110264 cho phép thực thi mã từ xa (RCE) không cần xác thực trên các máy chủ GitLab tự quản lý.
• Phạm vi ảnh hưởng: Lỗ hổng tồn tại trong mã nguồn từ phiên bản 7.0 (năm 2014) đến các bản phát hành mới nhất trước khi có bản vá.
• Điểm CVSS: Đạt mức tối đa 10.0, yêu cầu quản trị viên hệ thống cần ưu tiên cập nhật ngay lập tức.
• Cảnh báo bổ sung: Bản cập nhật này bao gồm 12 lỗ hổng khác nhau, bao gồm các vấn đề về xác thực và kiểm soát truy cập.

GitLab đã chính thức phát hành các bản cập nhật bảo mật khẩn cấp nhằm khắc phục một lỗ hổng bảo mật nghiêm trọng cho phép kẻ tấn công thực thi mã từ xa (RCE) trên các máy chủ tự quản lý (self-managed) mà không cần thông tin đăng nhập. Lỗ hổng này được định danh là CVE-2026-110264, với điểm số CVSS 10.0, mức cao nhất trong thang đo rủi ro bảo mật, ảnh hưởng đến cả hai phiên bản GitLab Community Edition (CE) và Enterprise Edition (EE).

Phân tích kỹ thuật lỗ hổng CVE-2026-110264

Theo các nhà nghiên cứu bảo mật, lỗ hổng này xuất phát từ lỗi tràn số nguyên (integer overflow) xảy ra trong quá trình máy chủ biên dịch một biểu thức chính quy (regular expression) được thiết kế đặc biệt. Các biểu thức chính quy là các mẫu được sử dụng để khớp văn bản, và trong trường hợp này, việc xử lý một mẫu do kẻ tấn công kiểm soát có thể dẫn đến việc thực thi mã tùy ý trên máy chủ.

Đáng chú ý, đoạn mã bị ảnh hưởng đã tồn tại từ phiên bản GitLab 7.0, phát hành vào năm 2014, nghĩa là lỗ hổng này đã tiềm ẩn trong hệ thống khoảng 12 năm. Mặc dù chưa có báo cáo xác nhận về các cuộc tấn công thực tế hoặc mã khai thác công khai, mức độ nghiêm trọng của lỗ hổng đòi hỏi các tổ chức phải hành động ngay lập tức.

Hướng dẫn khắc phục và cập nhật

GitLab đã phát hành các bản vá trong các phiên bản 18.11.13, 19.0.10, 19.1.9, 19.2.9, 19.3.6, 19.4.3 và 19.5.1. Quản trị viên hệ thống cần kiểm tra phiên bản hiện tại và thực hiện nâng cấp ngay lập tức. Đối với các môi trường GitLab Dedicated, các phiên bản từ 19.3.5-internal0 và 19.4.2-internal0 trở lên đã được tích hợp sẵn bản vá.

⚠️ Cảnh báo quan trọng: Việc cài đặt bản vá cho lỗ hổng CVE-2026-97229 trước đó không có tác dụng đối với lỗ hổng mới này. Quản trị viên cần đảm bảo hệ thống được cập nhật lên các phiên bản mới nhất được liệt kê ở trên để loại bỏ hoàn toàn rủi ro.

Để hỗ trợ đội ngũ bảo mật trong việc phát hiện các nỗ lực khai thác, GitLab đã cung cấp các hướng dẫn phát hiện dựa trên các tín hiệu như 'Onigmo native worker crash' và 'Org mode render error burst'. Mặc dù đây không phải là bằng chứng trực tiếp của một cuộc xâm nhập thành công, nhưng chúng là các chỉ số quan trọng để đội ngũ SOC thực hiện Threat Hunting.

Các lỗ hổng bổ sung trong bản phát hành

Bản cập nhật lần này không chỉ giải quyết CVE-2026-110264 mà còn xử lý tổng cộng 12 lỗ hổng bảo mật khác. Các lỗ hổng đáng chú ý khác bao gồm:

• CVE-2026-15723: Lỗi xử lý đầu vào trong quá trình liên kết tài khoản OmniAuth-to-LDAP, cho phép kẻ tấn công chiếm đoạt tài khoản.
• CVE-2026-112212: Lỗi đầu độc bộ nhớ đệm trong các phản hồi khám phá OAuth/OIDC.
• CVE-2026-12664: Thiếu kiểm tra phạm vi GraphQL cho phép truy xuất thông tin nhạy cảm.

Các tổ chức nên tham khảo tài liệu hướng dẫn nâng cấp chính thức từ GitLab Security Advisory để thực hiện quy trình vá lỗi an toàn, đặc biệt là đối với các hệ thống có cấu trúc multi-node để tránh gián đoạn dịch vụ.