GitLab phát hành bản vá khẩn cấp cho lỗ hổng CVSS 10.0 nghiêm trọng nhất

GitLab vừa tung ra đợt vá lỗi khẩn cấp được giới chuyên môn đánh giá là nghiêm trọng bậc nhất trong lịch sử nền tảng này. Tâm điểm là lỗ hổng CVE-2026-110264 với điểm CVSS 10.0 — mức tối đa trong thang điểm đánh giá mức độ nguy hiểm.

Tràn số nguyên cho phép thực thi mã từ xa

Theo mô tả từ GitLab, lỗ hổng nằm ở trình biên dịch biểu thức chính quy (Regular Expression Compiler). Khi xử lý một biểu thức chính quy được thiết kế đặc biệt, hệ thống gặp lỗi tràn số nguyên (integer overflow) dẫn đến khả năng thực thi mã tùy ý.

Điều khiến lỗ hổng này đặc biệt nguy hiểm là kẻ tấn công không cần xác thực vẫn có thể khai thác:

• Vector tấn công: qua mạng (AV:N)
• Độ phức tạp khai thác: thấp (AC:L)
• Không yêu cầu đặc quyền (PR:N)
• Không cần tương tác người dùng (UI:N)

Nói cách khác, bất kỳ ai truy cập được vào máy chủ GitLab tự vận hành (self-managed) chưa vá đều có thể tận dụng lỗ hổng này để kiểm soát máy chủ. Đây là kịch bản tồi tệ nhất đối với một hệ thống quản lý mã nguồn — nơi lưu trữ toàn bộ tài sản trí tuệ của doanh nghiệp.

GitLab đánh giá: lỗ hổng có thể "cho phép người dùng chưa xác thực thực thi mã tùy ý trên máy chủ GitLab".

Phạm vi ảnh hưởng cực rộng

Danh sách phiên bản bị ảnh hưởng kéo dài từ GitLab 7.0 (phát hành từ năm 2014) cho đến các bản mới nhất trước khi vá. Cụ thể, tất cả phiên bản trước các mốc sau đều nằm trong vùng nguy hiểm:

• 18.11.13
• 19.0.10
• 19.1.9
• 19.2.9
• 19.3.6
• 19.4.3
• 19.5.1

GitLab cho biết đã vá ngược (backport) bản sửa lỗi cho các nhánh cũ như 18.11.13, 19.0.10, 19.1.9 và 19.2.9, nhằm hỗ trợ những tổ chức chưa thể nâng cấp lên các bản mới nhất.

Các lỗ hổng đáng chú ý khác trong đợt vá

Ngoài lỗ hổng nghiêm trọng nhất, GitLab còn khắc phục 11 lỗ hổng khác. Một số vấn đề nổi bật:

• CVE-2026-15723 (CVSS 8.2) — Lỗi xác thực sai trong cơ chế tự động liên kết OmniAuth với LDAP. Khi cả hai tính năng cùng bật, người dùng đã xác thực có thể chiếm đoạt tài khoản LDAP hiện có mà nạn nhân không cần làm gì.
• CVE-2026-112212 (CVSS 7.5) — Đầu độc bộ nhớ đệm (cache poisoning) tại các endpoint khám phá OAuth/OIDC, có thể chuyển hướng luồng xác thực sang máy chủ do kẻ tấn công kiểm soát.
• CVE-2026-12664 (CVSS 6.8) — Vượt kiểm soát truy cập qua trường email trong GraphQL, cho phép token chỉ có quyền read_api vẫn tạo được work item.
• CVE-2026-16255 (CVSS 5.9) — Cơ chế khóa thành viên SAML/LDAP toàn hệ thống bị áp dụng không triệt để.
• CVE-2026-112378 (CVSS 4.3) — Người dùng có thể kích hoạt tính năng AI trả phí thông qua header không đáng tin cậy, do kiểm tra phía máy chủ chưa đủ chặt.

Nhiều lỗ hổng trong số này được phát hiện qua chương trình HackerOne bug bounty của GitLab. Riêng lỗ hổng CVSS 10.0 do nhà nghiên cứu có tên joaxcar báo cáo.

Công cụ phát hiện khai thác

GitLab Security đã phát hành hai tín hiệu phát hiện mối đe dọa dành cho khách hàng tự vận hành, giúp nhận diện nỗ lực khai thác lỗ hổng:

• Sự cố một worker gốc Onigmo (Onigmo native worker crash)
• Bùng nổ lỗi kết xuất chế độ Org (Org mode render error burst)

Các tín hiệu này rất hữu ích vì bản vá chính thức chỉ bịt lỗ hổng — nó không xóa dấu vết nếu hệ thống đã bị xâm nhập trước đó.

Khuyến nghị cho người dùng Việt Nam

Với các doanh nghiệp Việt Nam đang tự triển khai GitLab — từ các startup công nghệ đến các ngân hàng, tập đoàn có đội ngũ DevOps nội bộ — đây là cảnh báo cần xử lý ngay lập tức:

• Nâng cấp ngay lên bản mới nhất tương ứng với nhánh đang dùng. Không chờ đến lịch vá định kỳ.
• Kiểm tra log máy chủ trong 30 ngày gần nhất để tìm dấu hiệu khai thác bất thường.
• Cô lập máy chủ GitLab khỏi internet nếu chưa thể nâng cấp trong ngày, hoặc chặn truy cập từ IP lạ ở tầng tường lửa.
• Lưu ý về migration: bản vá có chứa database migration. Các hệ thống single-node sẽ bị downtime trong quá trình nâng cấp vì migration phải hoàn tất trước khi GitLab khởi động. Hệ thống multi-node có thể cập nhật không downtime nếu áp dụng đúng quy trình zero-downtime upgrade.

GitLab khuyến nghị mạnh mẽ: "Tất cả các hệ thống đang chạy phiên bản bị ảnh hưởng cần được nâng cấp lên phiên bản mới nhất càng sớm càng tốt."

Đáng chú ý, người dùng GitLab.com và GitLab Dedicated không cần hành động vì hạ tầng do GitLab vận hành đã được vá.

Bài học về chuỗi cung ứng phần mềm

Sự cố này một lần nữa nhấn mạnh rủi ro của các hệ thống mã nguồn mở tự vận hành. GitLab — nơi lưu trữ mã nguồn, pipeline CI/CD và secret của hàng triệu dự án — là mục tiêu có giá trị đặc biệt cao. Một lỗ hổng cho phép thực thi mã từ xa không chỉ đe dọa một máy chủ, mà còn mở đường cho kịch bản tấn công chuỗi cung ứng phần mềm quy mô lớn: kẻ tấn công có thể chèn mã độc vào pipeline build, từ đó lan sang mọi sản phẩm của tổ chức.

Với các đội ngũ kỹ thuật tại Việt Nam, đây cũng là lời nhắc về tầm quan trọng của việc theo dõi các bản tin bảo mật từ nhà cung cấp và duy trì quy trình vá lỗi khẩn cấp được định nghĩa rõ ràng — thay vì chỉ xử lý khi có sự cố xảy ra.