10 月 21 日，GitLab 发布安全修复，处理编号 CVE-2026-110264 的漏洞：自建服务器上的未认证攻击者可借此执行代码，影响自 2014 年发布的 7.0 版本以来的所有版本。据 The Hacker News 报道，该漏洞的 CVSS 评分为满分 10.0。10 月 12 日刚升级过的实例也要再升一次，因为当时的修复版本比这次低一个补丁号。
GitLab 称，在特定条件下，编译特制正则表达式时的整数溢出可让未认证用户在服务器上执行任意代码，但没有说明具体条件。
出问题的是 Ruby 内置的 Onigmo 正则引擎。GitLab 把它打包进自己的安装包，并在自己的构建中打补丁，自 7.0 起的每个版本都带有该引擎。
GitLab 称暂无迹象表明该漏洞已被用于攻击；截至 10 月 22 日，它也不在美国 CISA 的已知被利用漏洞目录中。
只有自建（self-managed）实例需要处理。GitLab.com 已运行修复版本；GitLab Dedicated 租户在 19.3.5-internal0、19.4.2-internal0 或更高内部版本上已含修复。
修复版本共 7 个：
GitLab 常规只为当前版本及前两个月度版本（19.5、19.4、19.3）打补丁。这次额外回溯修复了 18.11.13、19.0.10、19.1.9 和 19.2.9，GitLab 称这种做法只用于严重问题。
GitLab 的公告没有提供临时缓解办法。攻击的前提条件未公开，管理员也无法靠调整配置排除风险。
GitLab 同时发布了两条检测规则，名为“Onigmo native worker crash”和“Org mode render error burst”，属于其开源 TLDR 框架，以 Sigma 格式针对 GitLab 自身的应用日志。
升级本身有成本：19.4.3 和 19.3.6 含升级时运行的数据库变更，单节点服务器升级会停机。GitLab 称多节点部署可用零停机流程应用补丁。
据报道，这是同一位研究者（网名 joaxcar）一个月内报告的第四个 GitLab 正则引擎代码执行漏洞，也是第一个影响 19.2 之前版本的。此前三个分别是：
10 月 21 日的更新共修复 11 个安全问题，其中 1 个严重，其余为高、中、低危。另外两个与认证有关的高危漏洞是：
