Chỉ chín ngày sau khi vá một lỗi CVSS 10, GitLab lại phát hành bản vá khẩn thứ hai trong tháng 10/2026. Lỗi mới, CVE-2026-110264, cũng đạt điểm tối đa 10.0, nằm trong trình biên dịch biểu thức chính quy và ảnh hưởng tới các phiên bản tận GitLab 7.0. Nếu bạn tự host GitLab trên VPS hay máy chủ riêng, đây là bản cập nhật không nên để qua cuối tuần.

Tóm tắt nhanh

  • Ai bị ảnh hưởng: GitLab Community Edition và Enterprise Edition tự quản lý (self-managed), từ 7.0 đến trước các bản vá ngày 21/10/2026. GitLab.com đã được vá.
  • Mức độ: Critical, CVSS 10.0. Lỗi tràn số nguyên (integer overflow) trong Regular Expression Compiler, có thể dẫn tới chạy mã từ xa mà không cần xác thực.
  • Đã bị khai thác chưa: chưa có báo cáo khai thác thực tế. Theo Konfirmity, lỗi chưa có trong danh mục KEV của CISA tính đến 22/10.

Hai lỗi CVSS 10 trong cùng một tháng

Ngày 12/10, GitLab phát hành 19.4.2, 19.3.5 và 19.2.8 để vá CVE-2026-97229. Đây là lỗi tràn số nguyên trong trình biên dịch biểu thức chính quy của CI/CD, cũng đạt CVSS 10.0. Theo Help Net Security, người dùng chưa đăng nhập có thể chạy mã tùy ý trên máy chủ thông qua một biểu thức chính quy được chế tạo trong cấu hình CI/CD. Rapid7 đã tái hiện được lỗi trên bản 19.4.1, nhưng chưa thấy khai thác thực tế.

Ngày 21/10, GitLab phát hành đợt vá thứ hai với CVE-2026-110264, cùng loại lỗi tràn số nguyên trong Regular Expression Compiler nhưng dải ảnh hưởng rộng hơn nhiều. Cả hai lỗi đều do nhà nghiên cứu có biệt danh "joaxcar" báo cáo qua HackerOne. Điểm quan trọng nhất là: máy chủ chỉ vá đợt 12/10 vẫn còn lỗ hổng, vì 19.4.2, 19.3.5 và 19.2.8 vẫn nằm trong dải bị ảnh hưởng của lỗi mới.

Đợt vá 21/10 còn sửa 11 lỗi khác. Đáng chú ý có CVE-2026-15723 (CVSS 8.2), lỗi xác thực trong tính năng tự liên kết OmniAuth với LDAP, và CVE-2026-112212 (CVSS 7.5), lỗi đầu độc bộ nhớ đệm ở endpoint khám phá OAuth/OIDC.

Phiên bản bị ảnh hưởng và phiên bản vá

NhánhBị ảnh hưởng bởi CVE-2026-110264Bản vá (21/10/2026)
7.0 đến 18.11Từ 7.0 đến trước 18.11.1318.11.13
19.0Trước 19.0.1019.0.10
19.1Trước 19.1.919.1.9
19.2Trước 19.2.9 (gồm cả 19.2.8)19.2.9
19.3Trước 19.3.6 (gồm cả 19.3.5)19.3.6
19.4Trước 19.4.3 (gồm cả 19.4.2)19.4.3
19.5Trước 19.5.119.5.1

Nếu bạn còn chạy GitLab cũ hơn nhánh 18.11, cần nâng cấp dần theo lộ trình chính thức của GitLab. Không có bản vá riêng cho các nhánh đã hết hỗ trợ.

Kiểm tra phiên bản và cập nhật an toàn

Trên máy chủ cài gói Omnibus:

# Xem phiên bản GitLab đang chạy
sudo gitlab-rake gitlab:env:info | grep -i "GitLab information" -A 3
cat /opt/gitlab/embedded/service/gitlab-rails/VERSION

# Sao lưu trước khi nâng cấp
sudo gitlab-backup create
sudo cp /etc/gitlab/gitlab.rb /etc/gitlab/gitlab-secrets.json /root/

# Debian/Ubuntu (thay gitlab-ee bằng gitlab-ce nếu dùng bản CE)
sudo apt update && sudo apt install --only-upgrade gitlab-ee

# RHEL/AlmaLinux/Rocky
sudo dnf upgrade gitlab-ee

Với GitLab chạy bằng Docker, bạn đổi tag image sang bản vá rồi tạo lại container:

docker exec -it gitlab cat /opt/gitlab/embedded/service/gitlab-rails/VERSION
docker pull gitlab/gitlab-ee:19.5.1-ee.0
docker compose up -d

GitLab lưu ý rằng 19.4.3 và 19.3.6 có migration. Máy chủ một node sẽ ngừng hoạt động trong lúc nâng cấp. Hệ thống nhiều node có thể làm theo quy trình zero-downtime. Sau khi nâng cấp, bạn kiểm tra lại bằng:

sudo gitlab-rake gitlab:check SANITIZE=true

Việc cần làm ngay

Với chủ VPS tự host GitLab

  1. Kiểm tra phiên bản. Nếu thấp hơn bản vá trong bảng trên, kể cả khi bạn vừa cập nhật ngày 12/10, hãy nâng cấp ngay.
  2. Sao lưu dữ liệu, tệp gitlab.rb và gitlab-secrets.json trước khi nâng cấp.
  3. Nếu chưa thể nâng cấp, tạm đặt GitLab sau VPN, tường lửa hoặc danh sách IP cho phép. Tắt đăng ký tài khoản tự do và xem lại các dự án công khai.
  4. Theo dõi hai dấu hiệu mà GitLab mô tả: tiến trình native Onigmo bị crash và lỗi render Org mode xuất hiện dồn dập trong log.
  5. Kiểm tra runner, token CI/CD và khóa deploy. Nếu nghi ngờ máy chủ đã bị xâm nhập, hãy thu hồi và cấp lại toàn bộ.

Với người dùng GitLab.com hoặc dịch vụ quản lý

  • GitLab.com đã được vá, bạn không cần làm gì. Nếu dùng GitLab do nhà cung cấp hosting quản lý, hãy hỏi họ đã lên bản 21/10 chưa.
  • Rà soát personal access token và khóa SSH cũ, xóa những khóa không còn dùng.

Nguồn tham khảo