GitLab đã phát hành bản vá khẩn cho CVE-2026-110264, một lỗ hổng thực thi mã từ xa có điểm CVSS 10.0 trong bộ biên dịch biểu thức chính quy của GitLab Community Edition (CE) và Enterprise Edition (EE). Trong một số điều kiện, kẻ tấn công không cần tài khoản có thể gửi biểu thức chính quy được tạo đặc biệt để thực thi mã tùy ý trên máy chủ GitLab tự quản lý.
GitLab phát hành bản vá khẩn
Trong thông báo phát hành đề ngày 21/10/2026, GitLab cho biết các phiên bản 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 và 18.11.13 đã khắc phục CVE-2026-110264 cùng nhiều lỗi bảo mật khác. Công ty khuyến nghị mọi hệ thống tự quản lý đang chạy phiên bản bị ảnh hưởng nâng cấp lên bản vá tương ứng càng sớm càng tốt.
GitLab.com đã chạy phiên bản được vá. Các tenant GitLab Dedicated sử dụng 19.3.5-internal0, 19.4.2-internal0 hoặc mới hơn cũng đã có bản sửa và không cần hành động bổ sung. Trọng tâm ứng phó vì thế nằm ở các tổ chức tự vận hành GitLab CE hoặc EE trên máy chủ, máy ảo và cụm container của mình.
CVE-2026-110264 nguy hiểm như thế nào?
Lỗ hổng bắt nguồn từ lỗi tràn số nguyên trong Regular Expression Compiler, thành phần nền dùng để phân tích và xác thực biểu thức chính quy trong các tệp cấu hình. Theo GitLab, việc biên dịch một biểu thức được chế tạo đặc biệt có thể dẫn đến thực thi mã tùy ý trên máy chủ.
Vector CVSS 3.1 được công bố là AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. Điều này cho thấy lỗi có thể bị khai thác qua mạng, có độ phức tạp thấp, không yêu cầu đặc quyền hay tương tác người dùng, đồng thời có khả năng tác động nghiêm trọng đến tính bí mật, toàn vẹn và sẵn sàng của hệ thống.
Dải phiên bản GitLab bị ảnh hưởng
Phạm vi ảnh hưởng kéo dài từ GitLab 7.0 đến các bản chưa được vá của nhiều nhánh hiện hành. Cụ thể, tổ chức cần coi các phiên bản từ 7.0 đến trước 18.11.13; nhánh 19.0 trước 19.0.10; 19.1 trước 19.1.9; 19.2 trước 19.2.9; 19.3 trước 19.3.6; 19.4 trước 19.4.3; và 19.5 trước 19.5.1 là dễ bị tấn công.
GitLab đã vá ngược cho các nhánh 18.11, 19.0, 19.1 và 19.2 ngoài các bản phát hành tiêu chuẩn. Tuy nhiên, quản trị viên nên chọn phiên bản mới nhất thuộc nhánh được hỗ trợ thay vì chỉ dừng ở mốc tối thiểu, bởi cùng đợt phát hành còn xử lý nhiều lỗi xác thực, kiểm soát truy cập và rò rỉ thông tin.
Vì sao máy chủ GitLab là mục tiêu giá trị cao?
Một máy chủ GitLab thường lưu mã nguồn, lịch sử thay đổi, issue, tài liệu nội bộ và thông tin về quy trình phát triển. Tùy cấu hình, hệ thống còn có thể tiếp cận token CI/CD, biến môi trường, registry, runner và thông tin xác thực dùng để triển khai phần mềm.
Nếu thực thi mã thành công, kẻ tấn công có thể tìm kiếm bí mật, sửa mã hoặc cấu hình pipeline, duy trì quyền truy cập và mở rộng sang hạ tầng xây dựng hay môi trường sản xuất. Vì vậy, sự cố không chỉ đe dọa một máy chủ mà còn có thể trở thành điểm khởi đầu cho tấn công chuỗi cung ứng phần mềm.
Dấu hiệu cần giám sát
GitLab đã công bố hai nội dung dò tìm dành cho khách hàng tự quản lý: sự cố worker Onigmo native và đợt tăng đột biến lỗi kết xuất Org mode. Đây là tín hiệu phục vụ săn tìm nỗ lực khai thác, không phải bằng chứng độc lập đủ để kết luận một hệ thống đã bị xâm nhập.
Đội vận hành nên đối chiếu log ứng dụng, reverse proxy, tiến trình hệ điều hành và lưu lượng mạng quanh các thời điểm xuất hiện crash hoặc lỗi bất thường. Những tiến trình con lạ, tệp mới, kết nối ra ngoài không quen thuộc, thay đổi repository ngoài quy trình và token được sử dụng từ vị trí bất thường cần được điều tra ưu tiên.
Quy trình cập nhật ưu tiên
- Kiểm kê phiên bản: xác định mọi GitLab CE/EE tự quản lý, gồm môi trường chính, dự phòng, thử nghiệm và image triển khai.
- Ưu tiên hệ thống lộ Internet: hạn chế truy cập tạm thời nếu không thể cập nhật ngay và tránh coi tường lửa ứng dụng là biện pháp thay thế bản vá.
- Sao lưu và nâng cấp: thực hiện theo tài liệu nâng cấp của GitLab, cài bản vá phù hợp rồi xác minh dịch vụ và phiên bản đang chạy.
- Săn tìm dấu hiệu: sử dụng nội dung dò tìm chính thức, rà soát crash, lỗi Org mode và hành vi hệ thống bất thường.
- Xử lý khi nghi ngờ xâm nhập: cô lập máy chủ, bảo toàn log, kiểm tra repository và pipeline, đồng thời luân chuyển token, khóa triển khai và bí mật có thể đã bị lộ.
Các lỗi khác trong cùng đợt phát hành
Bản vá còn xử lý lỗi xác thực không đúng trong quá trình liên kết OmniAuth với LDAP mang mã CVE-2026-15723, điểm CVSS 8.2, có thể dẫn đến chiếm tài khoản LDAP trong điều kiện cấu hình cụ thể. CVE-2026-112212, điểm CVSS 7.5, liên quan đầu độc bộ nhớ đệm tại endpoint khám phá OAuth/OIDC và có thể chuyển hướng một số luồng sang máy chủ do kẻ tấn công kiểm soát.
Ngoài ra còn có các lỗi mức trung bình và thấp liên quan GraphQL, khóa thành viên SAML/LDAP, tiêu đề phản hồi nội bộ, API milestone, AI Gateway, bộ nhớ đệm merge request và chính sách phê duyệt. Điều này củng cố lý do cần triển khai toàn bộ bản vá thay vì chỉ tìm cách chặn riêng CVE nghiêm trọng nhất.
Bối cảnh rủi ro đối với GitLab
BleepingComputer dẫn dữ liệu Shadowserver cho biết hơn 2.700 máy chủ GitLab Community Edition được quan sát đang lộ trên Internet, dù con số này có thể gồm honeypot và các hệ thống đã vá. Mười ngày trước cảnh báo mới, GitLab cũng đã xử lý một lỗi thực thi mã khác trong Regular Expression Compiler mang mã CVE-2026-97229.
Tháng trước, GitLab vá CVE-2026-85706, một lỗi đọc tệp nhạy cảm không cần xác thực sau đó được CISA đưa vào danh mục lỗ hổng đã bị khai thác. Chuỗi cảnh báo gần nhau cho thấy tổ chức vận hành nền tảng DevSecOps phải rút ngắn thời gian kiểm kê, thử nghiệm và triển khai bản vá.
Bài học cho quản trị viên và đội phát triển
CVE-2026-110264 nhấn mạnh rằng nền tảng quản lý mã nguồn là một phần trọng yếu của chuỗi cung ứng, không chỉ là công cụ cộng tác. Kiểm soát truy cập, phân đoạn mạng và giám sát runner vẫn cần thiết, nhưng không thể loại bỏ lỗi thực thi mã không cần xác thực trong thành phần máy chủ.
Ưu tiên hợp lý là cập nhật ngay, xác minh phiên bản thực tế, kiểm tra dấu hiệu khai thác rồi đánh giá lại bí mật và tính toàn vẹn của pipeline nếu có nghi vấn. Tổ chức cũng nên duy trì danh mục phiên bản GitLab, người chịu trách nhiệm và thời hạn vá để phản ứng nhanh trước các bản phát hành bảo mật ngoài lịch.
VNCyberS tổng hợp từ GitLab và BleepingComputer
Tiếng Việt
English