Security Brief — 27 września 2026
GitLab, containerd, PgBouncer — najnowsze poprawki i co warto sprawdzić w swoich środowiskach.
Najnowsze poprawki dotyczą środowisk kontenerowych, połączeń z PostgreSQL oraz instalacji GitLab self-managed. Priorytetem jest ustalenie wersji używanych komponentów i zaplanowanie aktualizacji z uwzględnieniem ograniczeń operacyjnych.
containerd: DoS podczas pobierania obrazów OCI
Advisory containerd opublikowany 24 września opisuje CVE-2026-53493. Złośliwy graf deskryptorów OCI może podczas pobierania obrazu doprowadzić do nieograniczonego zużycia CPU i pamięci, zanim kontener zostanie uruchomiony. Dotyczy to zespołów korzystających z containerd i pobierających obrazy z rejestrów. Poprawione wersje to 1.7.36, 2.0.13, 2.2.9, 2.3.6 oraz 2.4.1. Nie ma znanego obejścia; upstream zaleca do czasu aktualizacji korzystać wyłącznie z zaufanych obrazów ze znanych rejestrów, co należy traktować jako ograniczenie ryzyka, a nie zamiennik poprawki. Propozycja redakcji: sprawdzić wersje containerd oraz źródła obrazów używane w środowiskach.
PgBouncer 1.26.0: trzy poprawki bezpieczeństwa
Changelog PgBouncer z 23 września wskazuje trzy poprawki CVE w wersji 1.26.0. CVE-2026-19888 dotyczy braku nonce w SCRAM i może zdalnie wywołać crash bez uwierzytelnienia; zakres obejmuje wersje od 1.11.0 do wcześniejszych niż 1.26.0. CVE-2026-6668 może powodować zawieszenie procesu przez overflow bufora, bez logowania przy domyślnym max_packet_size. CVE-2026-6669 pozwala złośliwemu backendowi PostgreSQL wymusić nadmierną pracę SCRAM i blokować innych klientów; w 1.26.0 dodano limit iteracji 1000000. Wydanie usuwa też online restart -R, SHOW FDS i SUSPEND, odsyłając do rolling restartów z so_reuseport. Propozycja redakcji: sprawdzić wersje oraz procedury restartu PgBouncer.
GitLab: krytyczne poprawki dla self-managed
Informacja o wydaniu GitLab z 23 września obejmuje wersje 19.4.1, 19.3.3 i 19.2.7 CE/EE. CVE-2026-89078 oraz CVE-2026-93577 mogą w określonych warunkach umożliwić uwierzytelnionemu użytkownikowi wykonanie kodu przez specjalny regex w CI/CD. Dotyczy to instalacji GitLab self-managed w gałęziach 19.2 przed 19.2.7, 19.3 przed 19.3.3 i 19.4 przed 19.4.1. GitLab.com jest już poprawiony, a GitLab Dedicated nie wymaga działania klienta. Aktualizacja zawiera migracje bazy danych, a instalacja single-node wymaga przestoju. Propozycja redakcji: potwierdzić wersje instancji i zaplanować okno serwisowe dla wdrożenia.
Do sprawdzenia
- Sprawdź wersje containerd i źródła pobieranych obrazów.
- Porównaj wersję PgBouncer z 1.26.0 i sprawdź procedurę restartu.
- Zweryfikuj wersję GitLab; uwzględnij migracje bazy i przestój instalacji single-node.
