Kritikus GitLab-hiba: 10/10-es biztonsági riasztás a bankoknál is használt platformon

A GitLab 2026. október 21-én rendkívüli biztonsági frissítéseket adott ki a Community Edition és az Enterprise Edition változataihoz. A CVE-2026-110264 azonosítójú hiba CVSS 3.1 szerinti súlyossága 10,0, a skála legmagasabb értéke. A gyártó közleménye az érintett, saját üzemeltetésű telepítések azonnali frissítését kéri.

A probléma speciálisan kialakított reguláris kifejezések feldolgozásakor fellépő egészszám-túlcsordulás: bizonyos feltételek mellett egy bejelentkezés nélküli támadó tetszőleges kódot futtathat a GitLab-kiszolgálón.

Miért banktechnológiai hír?

A GitLab pénzügyi intézmények fejlesztési infrastruktúrájában is megjelenik. A Barclaysről közzétett hivatalos GitLab-esettanulmány a GitLab Ultimate és a GitLab Duo használatát dokumentálja, a fejlesztési eszközrendszer egységesítésével, valamint biztonsági és kiadási ellenőrzések automatizálásával.

A Crédit Agricole Corporate & Investment Bankról szóló esettanulmány forráskódkezelési, integrációs és automatizálási felhasználást mutat be. Az anyag a közzétételekor mintegy kétezer vállalati felhasználóról és GitLabra épülő alkalmazáskiadási folyamatokról számolt be.

Ezek a példák a platform banki jelentőségét mutatják, nem az említett bankok sérülékenységét. Az esettanulmányok nem a bankok jelenlegi verzióit vagy javítási állapotát ismertetik. Nem támasztják alá azt sem, hogy bármelyik intézményt megtámadták volna.

A pénzügyi szektor szempontjából a figyelmeztetés tanulsága, hogy a védelem nem ér véget a mobilbanknál vagy a banki API-knál. Az alkalmazások elkészítésére és kiadására használt infrastruktúrát is vizsgálni kell. Egy fejlesztői környezet kompromittálása a hozzáférésektől és az elkülönítéstől függően forráskódokat, automatizált folyamatokat vagy telepítési jogosultságokat is veszélyeztethet. Ez lehetséges következmény, nem bejelentett banki incidens.

A 10,0 súlyosságot jelent, nem bizonyított támadást

A CVSS-t gondozó FIRST útmutatója szerint az alappontszám a sérülékenység technikai súlyosságát írja le; önmagában nem teljes kockázatértékelés. A tényleges kockázatot az adott rendszer elérhetősége, üzleti szerepe és védelme is befolyásolja.

A maximális érték tehát nem jelenti azt, hogy minden GitLab-telepítést feltörtek, vagy hogy banki ügyféladatok kerültek illetéktelenekhez. Az üzemeltetők számára ugyanakkor indokolt a sürgős érintettségvizsgálat.

Mely verziókat kell ellenőrizni?

A hiba a GitLab CE és EE több verzióágát érinti. A javított kiadások: 18.11.13, 19.0.10, 19.1.9, 19.2.9, 19.3.6, 19.4.3 és 19.5.1. A sérülékeny tartomány a 7.0-s verziónál kezdődik; az egyes ágak pontos határait a Nemzeti Kibervédelmi Intézet október 22-i adatlapja és a gyártó közleménye rögzíti.

Nem mindegy, ki üzemelteti a szolgáltatást. A GitLab közlése szerint a GitLab.com már javított verzión fut. A GitLab Dedicated 19.3.5-internal0, illetve 19.4.2-internal0 vagy későbbi, megfelelő kiadásai szintén tartalmazzák a javításokat. A saját üzemeltetésű rendszerek ellenőrzése és frissítése az adott szervezet feladata.