Lỗ hổng nghiêm trọng nhất trong GitLab cho phép thực thi mã từ xa, ảnh hưởng 12 năm phiên bản

GitLab vừa phát hành bản vá cho một lỗ hổng nghiêm trọng mức tối đa, có thể cho phép kẻ tấn công chưa xác thực thực thi mã tùy ý trên các máy chủ tự quản trị trong những điều kiện nhất định. Đáng chú ý, phạm vi ảnh hưởng trải dài tới 12 năm phát hành, từ phiên bản GitLab 7.0 ra mắt hồi tháng 6/2014. Hãng khuyến nghị mạnh mẽ mọi tổ chức đang chạy phần mềm bị ảnh hưởng nâng cấp lên bản đã vá càng sớm càng tốt.

Chi tiết lỗ hổng CVE-2026-110264

Lỗ hổng được theo dõi với mã CVE-2026-110264, thuộc dạng tràn số nguyên (integer overflow) trong quá trình biên dịch biểu thức chính quy (regular expression) trên cả GitLab Community Edition (CE) và Enterprise Edition (EE).

Theo ghi chú phát hành của hãng, lỗ hổng "trong những điều kiện nhất định, có thể cho phép người dùng chưa xác thực thực thi mã tùy ý trên máy chủ GitLab do tràn số nguyên khi biên dịch một biểu thức chính quy được thiết kế đặc biệt".

Với điểm số CVSS 10/10 — mức nghiêm trọng tuyệt đối — đây là dạng lỗ hổng mà bất kỳ đội ngũ vận hành hệ thống nào cũng cần xử lý ngay lập tức.

Các phiên bản đã được vá

GitLab đã phát hành bản sửa lỗi trong các phiên bản 19.5.1, 19.4.3 và 19.3.6, đồng thời backport bản vá cho các phiên bản 19.2.9, 19.1.9, 19.0.10 và 18.11.13.

Hạ tầng do GitLab quản lý, bao gồm GitLab.com và GitLab Dedicated, đã được vá sẵn. Hãng cũng công bố hai bộ quy tắc phát hiện mối đe dọa dành cho khách hàng đang vận hành phiên bản tự quản trị.

Lỗ hổng được chuyên gia bảo mật Johan Carlsson báo cáo thông qua chương trình săn lỗ hổng HackerOne của GitLab.

Mức độ nguy hiểm với doanh nghiệp Việt Nam

Với các tổ chức chạy GitLab tự quản trị, tác động tiềm tàng là rất nghiêm trọng. Như hãng bảo mật SOC Prime cảnh báo:

"Kho lưu trữ GitLab thường chứa mã nguồn, cấu hình CI/CD, bí mật triển khai, token truy cập, định nghĩa hạ tầng và kết nối tới môi trường production. Vì vậy, việc máy chủ bị xâm phạm có thể tạo cơ hội cho đánh cắp thông tin xác thực, thao túng kho mã, tấn công chuỗi cung ứng, duy trì chỗ đứng hoặc di chuyển ngang trong hệ thống."

Điều này đặc biệt đáng lo với nhiều doanh nghiệp công nghệ Việt Nam — vốn thường dùng GitLab self-hosted để kiểm soát mã nguồn nội bộ vì lý do bảo mật và chủ quyền dữ liệu. Một khi máy chủ GitLab nội bộ bị chiếm, kẻ tấn công có thể chạm tới toàn bộ pipeline CI/CD và môi trường production phía sau.

Hiện chưa có dấu hiệu nào cho thấy lỗ hổng đã bị khai thác trong thực tế. Tuy nhiên, với mức điểm 10/10 và độ phủ của GitLab — hãng tự công bố 50 triệu người dùng đăng ký và phục vụ hơn 50% doanh nghiệp trong Fortune 100 — giới phân tích dự đoán tin tặc sẽ sớm bắt đầu quét tìm các phiên bản dễ bị tổn thương.

Bài học từ lần trước

Đây không phải lần đầu GitLab gặp lỗ hổng nghiêm trọng mức tối đa trong năm nay. Hồi tháng trước, chỉ vài ngày sau khi hãng phát hành bản vá, giới tấn công đã bắt đầu dò quét một lỗ hổng nghiêm trọng tương tự trong cùng dòng sản phẩm CE và EE — theo ghi nhận của Cơ quan An ninh mạng và Hạ tầng Mỹ (CISA) cùng các nhà nghiên cứu độc lập.

Bài học rút ra rất rõ ràng: với lỗ hổng cho phép thực thi mã từ xa mức tối đa, khoảng thời gian "an toàn" sau khi vá thường rất ngắn. Các đội DevOps và quản trị hệ thống nên ưu tiên kiểm tra phiên bản GitLab đang dùng, lên kế hoạch nâng cấp trong khung thời gian sớm nhất và áp dụng các quy tắc phát hiện mối đe dọa mà GitLab đã cung cấp để phát hiện sớm dấu hiệu khai thác bất thường.