Mục lụcChạm để xem nhanh các phần＋
- GitLab công bố ngày 21/10/2026 bản vá CVE-2026-110264, lỗi được hãng chấm mức nghiêm trọng tối đa 10/10. Trong một số điều kiện, người không có tài khoản vẫn có thể khiến máy chủ GitLab chạy mã tùy ý từ xa. Doanh nghiệp tự vận hành GitLab Community Edition hoặc Enterprise Edition cần kiểm kê và cập nhật ngay; không coi bản vá ngày 12/10 là đã xử lý lỗi mới này.
- Lỗi nằm ở bộ biên dịch biểu thức chính quy, công cụ xử lý các mẫu ký tự trong phần mềm. Một phép tính vượt giới hạn số nguyên có thể dẫn đến việc thực thi mã ngoài ý muốn. Điểm CVSS mô tả mức nghiêm trọng kỹ thuật, không phải tỷ lệ doanh nghiệp đã bị xâm nhập hay xác suất một cuộc tấn công thành công.
Điểm mới là một bản vá khẩn cấp khác
GitLab công bố ngày 21/10/2026 bản vá CVE-2026-110264, lỗi được hãng chấm mức nghiêm trọng tối đa 10/10. Trong một số điều kiện, người không có tài khoản vẫn có thể khiến máy chủ GitLab chạy mã tùy ý từ xa. Doanh nghiệp tự vận hành GitLab Community Edition hoặc Enterprise Edition cần kiểm kê và cập nhật ngay; không coi bản vá ngày 12/10 là đã xử lý lỗi mới này.
Bản tin ngày 23/10 dẫn lại đúng ngày phát hành 21/10, không coi đây là bản vá vừa ra trong sáng nay. Chúng tôi mở rộng cửa sổ tuyển chọn hơn 48 giờ vì mức độ ảnh hưởng và phạm vi phiên bản cũ. GitLab.com đã được vá; khách dùng dịch vụ này không tự nâng cấp máy chủ của GitLab.
GitLab Dedicated chạy 19.3.5-internal0, 19.4.2-internal0 hoặc mới hơn đã có bản sửa theo thông báo hãng. Nhóm vận hành cần xác nhận đúng loại dịch vụ và bản triển khai trước khi lập lịch bảo trì; cảnh báo cho máy chủ tự quản không có nghĩa mọi khách hàng GitLab đều phải dừng hệ thống.
Ảnh hưởng đến kho mã và chuỗi triển khai
Lỗi nằm ở bộ biên dịch biểu thức chính quy, công cụ xử lý các mẫu ký tự trong phần mềm. Một phép tính vượt giới hạn số nguyên có thể dẫn đến việc thực thi mã ngoài ý muốn. Điểm CVSS mô tả mức nghiêm trọng kỹ thuật, không phải tỷ lệ doanh nghiệp đã bị xâm nhập hay xác suất một cuộc tấn công thành công.
Máy chủ GitLab thường chứa kho mã, cấu hình công việc tự động và thông tin kết nối phục vụ phát triển. Friday Works nhận định hậu quả tiềm tàng có thể vượt một website bị gián đoạn: nếu máy chủ thực sự bị chiếm quyền, cần đánh giá cả mã nguồn, tài khoản dịch vụ và luồng đưa phần mềm lên môi trường sử dụng. Đây là phân tích rủi ro, không phải bằng chứng đã có khách hàng bị ảnh hưởng.
Ảnh kèm bài là giao diện kho mã công khai của chính GitLab, do Friday Works chụp ngày 23/10. Ảnh thể hiện sản phẩm thực, không phải màn hình chứng minh một máy chủ doanh nghiệp đã được vá hoặc bằng chứng của cuộc tấn công.
Chọn đúng bản vá theo nhánh đang chạy
GitLab liệt kê các mốc đã sửa: 18.11.13, 19.0.10, 19.1.9, 19.2.9, 19.3.6, 19.4.3 và 19.5.1. Phạm vi bị ảnh hưởng kéo dài từ GitLab 7.0 đến trước mốc đã vá tương ứng của từng nhánh. Không đọc danh sách này thành mọi bản 19.x đều an toàn.
Nhóm dùng bản quá cũ cần xác định đường nâng cấp được GitLab hỗ trợ, các điểm dừng bắt buộc và yêu cầu dữ liệu. Việc hãng đưa riêng bản sửa nghiêm trọng về một số nhánh cũ không chứng minh các nhánh đó được gia hạn hỗ trợ đầy đủ hoặc đã nhận mọi sửa lỗi khác.
Friday Works khuyến nghị có bản sao lưu và thử khôi phục trước thay đổi, xác nhận phiên bản trong giao diện trợ giúp hoặc công cụ quản trị chính thức, rồi nâng cấp đúng gói của kiểu cài đặt. Với nhiều nút hoặc container, kiểm tra từng thành phần phục vụ yêu cầu; đổi một image tag chưa chứng minh mọi tiến trình đã chạy bản mới.
Có phát hiện để rà soát, chưa nên suy thành đã bị khai thác
GitLab công bố hai nội dung phát hiện cho máy chủ tự quản: Onigmo native worker crash và Org mode render error burst. Đây là tín hiệu để điều tra trong nhật ký, không phải kết luận một lỗi ứng dụng bất kỳ đều do kẻ tấn công gây ra. Nên đọc quy tắc gốc, mốc thời gian và ngữ cảnh thay vì tự tạo chỉ báo từ tiêu đề.
Thông báo được kiểm tra không xác nhận số nạn nhân hoặc một chiến dịch khai thác ngoài thực tế. Có CVE, mức 10/10 và hướng dẫn phát hiện vẫn không đủ để tuyên bố đã có xâm nhập. Ngược lại, chưa có bằng chứng công khai cũng không phải lý do trì hoãn bản vá có hậu quả lớn.
Sau nâng cấp, lưu bằng chứng phiên bản và thời điểm hoàn tất; thử đăng nhập, đọc kho mã và một tác vụ tự động an toàn. Tiếp tục rà nhật ký quanh thời gian máy chủ còn chạy bản cũ. Nếu có dấu hiệu xâm nhập đáng tin, tách quy trình ứng phó sự cố và đánh giá thu hồi bí mật liên quan; vá phần mềm không tự chứng minh kẻ xâm nhập đã bị loại bỏ.
Nguồn tham khảo
Tài liệu đã dùng để biên soạn
Ưu tiên tài liệu chính thức và nguồn kỹ thuật gốc. Truy cập để kiểm tra chi tiết hoặc theo dõi cập nhật mới nhất.
- Critical patch release, published 21 October 2026; accessed 23 OctoberGitLab ↗︎
- Supported upgrade pathsGitLab ↗︎
- Find installed versionGitLab ↗︎
- Original GitLab repository UI capture, Friday Works, 23 October 2026; public repository, deployment version unspecified; proportional resize and neutral framing; not patch evidenceGitLab / Friday Works ↗︎
- GitLab source and README MIT licence; full notice retained locally; trademarks remain with GitLabGitLab ↗︎
- CVE record assigned by GitLab, published 22 October 2026; event release remains 21 OctoberGitLab CNA / CVE Program ↗︎