Ruby · Divulgada

Ruby corrige bugs de regex que permitiam RCE crítico no GitLab

22 de out. de 2026 · 1 min de leitura

O Ruby corrigiu três bugs na compilação de expressões regulares que estavam na base de quatro RCEs críticos do GitLab: CVE-2026-89078, CVE-2026-93577, CVE-2026-97229 e CVE-2026-110264. As correções saíram em 23 de outubro de 2026 nas versões 4.0.9, 3.4.12 e 3.3.13; o Ruby 3.2, sem suporte desde 2026-04-01, não recebe correção. Segundo o Ruby, o risco se restringe a aplicações que compilam regex a partir de string controlada pelo atacante; atualize o Ruby e confira o GitLab.

Por Redação HIFY Radar Atualizado 26/10/2026 13:11 Receba isso todo dia →← Voltar ao feed 4 fontes

AltaFalhaDivulgadaCorrigido

Neste artigo

O que aconteceu
Por que importa
O que fazer
Para o time técnico
Linha do tempo
Fontes

O que aconteceu

O time do Ruby corrigiu três bugs no motor de expressões regulares da linguagem, segundo o The Hacker News. Esses bugs sustentavam quatro falhas críticas de execução remota de código no GitLab, rastreadas como CVE-2026-89078, CVE-2026-93577, CVE-2026-97229 e CVE-2026-110264. As correções estão nas versões 4.0.9, 3.4.12 e 3.3.13, lançadas em 23 de outubro de 2026.

Por que importa

Segundo o próprio Ruby, o risco existe apenas quando a aplicação monta expressões regulares a partir de texto fornecido pelo atacante, cenário que inclui os casos do GitLab. Nesse cenário, a falha permite execução remota de código, com risco de servidor invadido e dados expostos. O Ruby 3.2, sem suporte desde 1º de abril de 2026, não receberá correção, deixando sistemas antigos sem caminho oficial de correção.

O que fazer

Atualize o Ruby para 4.0.9, 3.4.12 ou 3.3.13, conforme a linha em uso. Confirme que o GitLab está em versão com correção publicada pelo fornecedor. Verifique se alguma aplicação própria compila regex a partir de entrada do usuário.

Para o time técnico

CVE: CVE-2026-89078, CVE-2026-93577, CVE-2026-97229, CVE-2026-110264
Afetados: Ruby (CRuby / Onigmo regex engine) · Ruby 4.0 anterior a 4.0.9; Ruby 3.4 anterior a 3.4.12; Ruby 3.3 anterior a 3.3.13; Ruby 3.2 e anteriores sem correção (3.2 é EOL desde 2026-04-01). Restrito a aplicações que compilam regex de string controlada pelo atacante.
Exploração: As fontes não relatam exploração em campo nem prova de conceito pública. Gravidade de referência: crítica, na nota do Ruby. Estágio atual: divulgado e corrigido.
Correção: Ruby 4.0.9, 3.4.12 e 3.3.13, lançados em 23 de outubro de 2026. Não há versão corrigida para Ruby 3.2 e anteriores (EOL). Na nota do 3.3.13, a correção de regex entrou por exceção, pois a série 3.3 está em fase de manutenção de segurança.
Vetor: Motor de regex do CRuby (Onigmo), falha na compilação de expressões regulares. Condição de exploração, segundo o Ruby: a aplicação compila uma expressão regular a partir de uma string controlada pelo atacante. Fora dessa condição, a falha não se aplica.
Mais detalhes: Três bugs de regex no Ruby correspondem a quatro CVEs críticos do GitLab (CVE-2026-89078, CVE-2026-93577, CVE-2026-97229, CVE-2026-110264). A nota do Ruby 4.0.9 liga a CVE-2026-110264 a um bug específico de compilação de Regexp. A nota do Ruby cita análise da Rapid7 que descreve a CVE-2026-97229 como integer overflow de regex no CI/CD do GitLab, e cita avisos do GitLab com Critical Patch Releases (incluindo 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 e 18.11.13). O Ruby 3.3.13 também corrige CVE-2026-80212 e CVE-2026-80213 ao atualizar a gem padrão resolv para 0.3.2.