פורסמו גרסאות מתקנות של Ruby 3.3.13, 3.4.12 ו-4.0.9, המתקנות פגיעות קריטית (CVE-2026-110264) המובילה לגלישה שלמה בעת קומפילציה של ביטויים רגולריים בעלי מבנה מיוחד. פגיעות זו יכולה לשמש לתקיפת פרויקטים שנכתבו ב-Ruby המשתמשים בנתונים חיצוניים בביטויים רגולריים. בין היתר, אושר ניצול הפגיעות לצורך ביצוע קוד מרחוק בפלטפורמת הפיתוח השיתופי GitLab. הבעיה נחסמה עוד יותר בעדכוני GitLab 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 ו-18.11.13. לפגיעות הוקצתה רמת חומרה של 10 מתוך 10.
קיימת פגיעות במנוע הביטויים הרגולריים של Onigmo וגורמת לגלישה פנימית של מזהה בעת קומפילציה של תבנית עם מספר רב של חזרות. הבעיה מתבטאת רק ביישומים המשתמשים בנתונים חיצוניים בביטויים רגולריים המעובדים באמצעות המתודות Regexp.new, Regexp.union ו-Regexp.compile, או ליטרלים בצורה "/#{input}/". הגבלת גודל הביטוי הרגולרי או זמן העיבוד שלו באמצעות המתודה Regexp.timeout אינה מונעת את הפגיעות, מכיוון שניתן להשתמש בתבניות קצרות לצורך ההתקפה.
ב-GitLab, ניתן לנצל פגיעות על ידי משתמש לא מאומת על ידי החלפת נתונים חיצוניים בביטוי רגולרי. פרטי שיטת הניצול טרם נחשפו (על פי מדיניות GitLab, מידע הופך לזמין 30 יום לאחר פרסום התיקון), אך ניסיונות לתקוף משתמשי GitLab כבר תועדו באינטרנט. סימנים עקיפים להתקפה כוללים עלייה במספר קריסות מפרש Ruby ועלייה בשגיאות יומן הקשורות לפסק זמן של עיבוד דפים בעת עיבוד קבצי .org.
בנוסף ל-CVE-2026-110264, תוקנו שלוש פגיעויות נוספות במנוע הביטויים הרגולריים: CVE-2026-89078 (שחרור כפול של זיכרון כאשר לא ניתן לנתח תבנית לאחר ששונתה), CVE-2026-93577, ו-CVE-2026-97229 (גלישות של מספרים שלמים בעת חישוב גודל של תבנית שעברה קומפילציה).
מקור: OpenNet.ru
