Cảnh báo lỗ hổng nghiêm trọng (CVSS 10.0) trên GitLab: Nguy cơ RCE không cần xác thực suốt 12 năm qua

GitLab vừa công bố các bản vá bảo mật quan trọng vào ngày 21/10/2026 nhằm khắc phục một lỗ hổng nghiêm trọng cho phép kẻ tấn công thực thi mã từ xa (RCE) trên các máy chủ tự quản lý (self-managed) mà không cần xác thực. Đáng chú ý, lỗ hổng này ảnh hưởng đến mọi phiên bản GitLab kể từ bản 7.0 được phát hành vào năm 2014.

Lỗ hổng này được định danh là CVE-2026-110264 với điểm CVSS 10.0 – mức cao nhất trong thang đo rủi ro. Theo GitLab, nguyên nhân xuất phát từ lỗi tràn số nguyên (integer overflow) trong quá trình biên dịch các biểu thức chính quy (regular expression) thông qua công cụ Onigmo của Ruby. Lỗi này tồn tại trong mọi phiên bản GitLab đã phát hành trong suốt 12 năm qua.

Tại sao quản trị viên cần lưu ý ngay cả khi đã cập nhật gần đây?
Nhiều quản trị viên đã thực hiện cập nhật vào ngày 12/10 có thể vẫn nằm trong vùng nguy hiểm. Bản cập nhật trước đó chỉ tập trung vào các phiên bản 19.2 trở lên, trong khi bản vá mới nhất này bao phủ phạm vi rộng hơn và yêu cầu nâng cấp lên các phiên bản mới hơn nữa để đảm bảo an toàn.

Danh sách các phiên bản cần nâng cấp:

• 19.5: Cập nhật lên 19.5.1
• 19.4: Cập nhật lên 19.4.3
• 19.3: Cập nhật lên 19.3.6
• 19.2: Cập nhật lên 19.2.9
• 19.1: Cập nhật lên 19.1.9
• 19.0: Cập nhật lên 19.0.10
• Từ 7.0 đến 18.11: Cập nhật lên 18.11.13

GitLab đã thực hiện ngoại lệ khi backport bản vá này cho các phiên bản cũ (18.11, 19.0, 19.1, 19.2) thay vì chỉ hỗ trợ các bản phát hành hiện tại, nhằm đảm bảo an ninh cho người dùng. Hiện tại, chưa có bằng chứng cho thấy lỗ hổng này đã bị khai thác trong thực tế, nhưng do tính chất nghiêm trọng, quản trị viên được khuyến cáo thực hiện nâng cấp ngay lập tức.

Ngoài lỗ hổng RCE này, bản cập nhật ngày 21/10 cũng khắc phục 10 vấn đề bảo mật khác, bao gồm các lỗi liên quan đến chiếm quyền điều khiển tài khoản và đầu độc bộ nhớ đệm (cache poisoning) trong các endpoint OAuth/OpenID Connect. Người dùng được khuyến cáo kiểm tra kỹ quy trình cập nhật, đặc biệt là các thay đổi về cơ sở dữ liệu trên các phiên bản 19.4.3 và 19.3.6 để tránh gián đoạn dịch vụ.

Nguồn tham khảo: The Hacker News