GitLab vừa phát hành bản vá khẩn cấp cho CVE-2026-110264, lỗ hổng cho phép kẻ tấn công thực thi mã từ xa mà không cần xác thực. Với phạm vi ảnh hưởng trải dài từ phiên bản 7.0, đây là rủi ro cần được ưu tiên xử lý trên các hệ thống GitLab tự triển khai, đặc biệt tại doanh nghiệp sử dụng nền tảng này để quản lý mã nguồn và vận hành CI/CD.
Ngày 21/10/2026, GitLab công bố các bản cập nhật bảo mật nhằm khắc phục CVE-2026-110264 trên GitLab Community Edition (CE) và Enterprise Edition (EE). Lỗ hổng được đánh giá ở mức nghiêm trọng, đạt điểm CVSS 10.0, có khả năng ảnh hưởng đồng thời đến tính bí mật, tính toàn vẹn và tính sẵn sàng của hệ thống.
Đáng chú ý, việc đã cài đặt bản vá ngày 12/10 không đồng nghĩa hệ thống được bảo vệ trước lỗ hổng mới. Doanh nghiệp cần kiểm tra chính xác phiên bản đang vận hành và tiếp tục cập nhật theo thông báo mới nhất.
Lỗi tràn số nguyên trong quá trình biên dịch biểu thức chính quy
CVE-2026-110264 liên quan đến lỗi tràn số nguyên (integer overflow) khi hệ thống biên dịch một biểu thức chính quy được tạo đặc biệt. Trong những điều kiện nhất định, lỗi này có thể cho phép người dùng chưa xác thực thực thi mã tùy ý trên máy chủ GitLab.
Điểm yếu nằm trong engine xử lý biểu thức chính quy Onigmo được sử dụng bởi Ruby. Đây là ví dụ cho thấy một lỗi trong thành phần phụ thuộc có thể mở rộng thành rủi ro ở cấp nền tảng, ảnh hưởng đến nhiều thế hệ phiên bản của cùng một sản phẩm.
Với quản trị viên, mức độ ưu tiên xử lý cần dựa trên khả năng thực thi mã từ xa và phạm vi phơi nhiễm của hệ thống. Việc máy chủ vẫn hoạt động bình thường hoặc chưa xuất hiện cảnh báo không đủ để kết luận hệ thống an toàn.
Từ máy chủ GitLab đến nguy cơ tấn công chuỗi cung ứng phần mềm
GitLab thường giữ vai trò trung tâm trong hạ tầng phát triển phần mềm: lưu trữ mã nguồn, quản lý thay đổi, điều phối pipeline và kết nối với các môi trường kiểm thử, triển khai.
Nếu máy chủ bị xâm nhập, tác động có thể vượt ra ngoài phạm vi một ứng dụng. Tùy quyền truy cập và cách phân tách hạ tầng, kẻ tấn công có thể tìm cách:
- Đánh cắp mã nguồn và dữ liệu kỹ thuật, làm lộ tài sản trí tuệ hoặc thông tin về kiến trúc hệ thống.
- Tiếp cận thông tin xác thực, bao gồm access token, deploy key và các secret phục vụ CI/CD.
- Can thiệp quy trình build và triển khai, tạo nguy cơ đưa thay đổi trái phép vào sản phẩm phần mềm.
- Di chuyển sang hệ thống liên quan, thông qua các kết nối và quyền đã được cấp cho nền tảng DevOps.
Đây là các kịch bản rủi ro cần được đánh giá theo từng môi trường, không phải kết luận rằng mọi hệ thống bị ảnh hưởng đều đã bị khai thác. Tuy nhiên, chúng cho thấy vì sao việc bảo vệ GitLab cần được đặt trong chiến lược bảo mật toàn bộ chuỗi phát triển và cung ứng phần mềm.
Những phiên bản nào cần cập nhật?
Các tổ chức vận hành GitLab self-managed cần chủ động triển khai bản vá. Theo GitLab, hạ tầng do hãng quản lý, bao gồm GitLab.com và GitLab Dedicated, đã được vá.
Các mốc phiên bản khắc phục CVE-2026-110264 gồm:
- Nhánh 19.5: cập nhật lên 19.5.1.
- Nhánh 19.4: cập nhật lên 19.4.3.
- Nhánh 19.3: cập nhật lên 19.3.6.
- Nhánh 19.2: cập nhật lên 19.2.9.
- Nhánh 19.1: cập nhật lên 19.1.9.
- Nhánh 19.0: cập nhật lên 19.0.10.
- Nhánh 18.11: cập nhật lên 18.11.13.
Các hệ thống từ phiên bản 7.0 đến những nhánh cũ hơn 18.11 cần xây dựng lộ trình nâng cấp phù hợp để tới phiên bản đã khắc phục. Không nên hiểu việc phát hành 18.11.13 là có thể nâng trực tiếp từ mọi phiên bản cũ lên mốc này.
Bên cạnh các nhánh hiện hành, GitLab đã đưa bản vá về những nhánh cũ hơn gồm 18.11, 19.0, 19.1 và 19.2, mở rộng lựa chọn khắc phục cho các hệ thống chưa thể chuyển ngay lên phiên bản mới.
Bản cập nhật còn xử lý các rủi ro về xác thực và phân quyền
Thông báo ngày 21/10 liệt kê tổng cộng 12 lỗ hổng, trong đó có một lỗ hổng mức nghiêm trọng và hai lỗ hổng mức cao.
Hai vấn đề đáng chú ý liên quan trực tiếp đến cơ chế quản lý danh tính:
CVE-2026-15723 – CVSS 8.2: Khi đồng thời bật tự động liên kết tài khoản qua OmniAuth SAML và LDAP, người dùng đã xác thực có thể chiếm quyền một tài khoản LDAP hiện có. Rủi ro xuất phát từ việc xử lý đầu vào không phù hợp trong quá trình tra cứu email để liên kết danh tính.
CVE-2026-112212 – CVSS 7.5: Lỗi đầu độc bộ nhớ đệm tại các endpoint khám phá OAuth/OIDC có thể khiến một số luồng bị chuyển hướng đến máy chủ do kẻ tấn công kiểm soát trong môi trường sử dụng cache chia sẻ.
Các vấn đề này cho thấy việc cập nhật cần đi cùng rà soát cấu hình tích hợp danh tính, cơ chế cache và quyền truy cập giữa các thành phần.
Doanh nghiệp cần triển khai những biện pháp nào?
Ưu tiên vá và kiểm kê đầy đủ hệ thống. Xác định toàn bộ GitLab instance đang vận hành, bao gồm môi trường phát triển, kiểm thử và các hệ thống do từng bộ phận tự quản lý. Ưu tiên những instance có thể truy cập từ Internet hoặc kết nối với tài nguyên triển khai quan trọng.
Chuẩn bị phương án nâng cấp và khôi phục. Kiểm tra yêu cầu về lộ trình nâng cấp, sao lưu dữ liệu và đánh giá ảnh hưởng của thay đổi cơ sở dữ liệu. Với hệ thống nhiều node, cần đối chiếu điều kiện áp dụng quy trình nâng cấp không gián đoạn theo tài liệu GitLab.
Bổ sung phát hiện và truy vết. GitLab đã công bố hai quy tắc hỗ trợ phát hiện dấu hiệu khai thác: Onigmo native worker crash và Org mode render error burst. Đội ngũ an ninh cần kiểm tra nguồn log, điều kiện thu thập và khả năng tích hợp trước khi đưa vào hệ thống giám sát. Cảnh báo cần được điều tra trong bối cảnh cụ thể; một lần tiến trình bị lỗi chưa đủ để xác nhận xâm nhập.
Rà soát hoạt động bất thường trong môi trường DevOps. Tập trung vào thay đổi pipeline, token mới được tạo, quyền truy cập tăng bất thường và các kết nối đáng ngờ từ máy chủ GitLab. Nếu phát hiện dấu hiệu xâm nhập, cần đánh giá cả những secret và hệ thống liên quan có thể đã bị ảnh hưởng.
Thu hẹp bề mặt tấn công. Trong thời gian triển khai bản vá, doanh nghiệp có thể giới hạn truy cập bằng VPN, danh sách IP được phép và phân đoạn mạng. Các biện pháp này hỗ trợ giảm phơi nhiễm, nhưng không thay thế việc nâng cấp.
VNCS Global: Kết hợp khắc phục lỗ hổng với giám sát và ứng phó
Bản vá giúp xử lý điểm yếu kỹ thuật, nhưng không tự xác định được liệu hệ thống đã bị xâm nhập trước đó hay chưa. Với nền tảng giữ vai trò trung tâm như GitLab, doanh nghiệp cần kết hợp quản lý lỗ hổng với giám sát liên tục và khả năng điều tra sự cố.
VNCS Global đồng hành cùng doanh nghiệp thông qua các dịch vụ:
- Đánh giá xâm nhập hệ thống (Compromise Assessment): rà soát dấu hiệu xâm nhập trên máy chủ và hạ tầng liên quan, đánh giá nguy cơ tồn tại hoạt động trái phép trước thời điểm vá.
- Giám sát an toàn thông tin SOC 24/7: hỗ trợ thu thập, phân tích và tương quan sự kiện để phát hiện hoạt động đáng ngờ trong môi trường doanh nghiệp.
- Kiểm thử xâm nhập (Pentest): đánh giá bề mặt tấn công của ứng dụng web, API và hạ tầng liên quan đến quy trình DevOps.
- Ứng cứu sự cố (Incident Response): hỗ trợ điều tra, khoanh vùng và khắc phục khi phát hiện dấu hiệu khai thác.
- Threat Intelligence: bổ sung thông tin về mối đe dọa, hỗ trợ ưu tiên giám sát và ứng phó.
Kết nối ngay với VNCS Global để đánh giá mức độ phơi nhiễm, rà soát dấu hiệu xâm nhập và tăng cường giám sát an ninh cho hạ tầng DevOps của doanh nghiệp.
📞 (+84) 24 62 911 419 | ✉️ sales@vncsglobal.vn
