GitLab получил патч с максимальным CVSS 10.0: неаутентифицированный RCE через регулярные выражения
What's Getting Pwned
GitLab выпустил критическое обновление для CVE-2026-110264 — целочисленное переполнение в компиляторе регулярных выражений Onigmo позволяет неаутентифицированному атакующему выполнить код на self-managed инстансах. Уязвимы все версии CE/EE начиная с 7.0 (2014 год). Те, кто уже поставил октябрьский фикс для regex, всё равно должны обновиться повторно. Параллельно pwn.watch фиксирует утечку непатченных отчётов ZDI в публичный LKML, компрометацию LiteLLM 1.107.0 и критический RCE в PHP core.
GitLab released a critical patch on Oct 21 2026 for CVE-2026-110264: an integer overflow in the bundled Onigmo / regex compiler that can allow an unauthenticated attacker to execute code on self-managed GitLab.
- pixl97
Было бы интересно посмотреть, как выглядел 2025 год в сравнении.
Скорость, с которой находятся уязвимости, просто безумная. Многие предупреждали нас в прошлом, что наша небрежная политика безопасности вернётся и укусит нас, и вот мы наконец здесь.
- demibabs
Каждая страница, сгенерированная ИИ, пытается впихнуть слишком много информации в слишком маленькое место
- xbar
После первых 8 часов игры с Mythos меня спросили, что я думаю. Мой ответ: «это поколение LLM вызовет крупнейшую волну инцидентов безопасности, которую когда-либо видел мир».
Это только начало.
- aeturnum
Я не понимаю категоризацию инцидентов. Эта уязвимость в signal[1] указана как «Live» и «ongoing», но была исправлена более месяца назад (только сегодня объявлено). Если инцидент без известных эксплойтов считается «ongoing» через 1,5 месяца после выпуска патча, когда он закончится?
- aduwah
Упущенная возможность не назвать это pwnhub
- meerita
Мы просто наблюдаем последние дни небрежного кода, написанного людьми. Мы достигнем точки, когда большинство багов будет исправлено.
- WarmWash
Стоит следить за тем, что сделает КПК, когда люди начнут злоупотреблять возможностями китайских моделей. Не думаю, что Китай хочет быть лицом массового киберразрушения (и уж точно не жертвой), а достаточно одного невменяемого мудака, чтобы испортить всё для всех.
Также обратная сторона: китайские модели используются для атак на инфраструктуру США, просто загружая артиллерийские снаряды в пушку «Запретить китайские модели».
- dunder_cat
Кнопка RSS не работает, выдаёт 404 при перенаправлении на https://pwn.watch/feed.xml :-(.
На самом деле, похоже, это касается и кнопок «json» и «llms.txt».