Ngày 29/10/2026, GitLab phát hành 19.5.3, 19.4.5, 19.3.7, 19.2.10, 19.1.10, 19.0.11 và 18.11.14 cho bản Community và Enterprise — chỉ tám ngày sau bản vá khẩn cấp ngày 21/10 (19.5.1 và các bản tương ứng). Lỗi được vá, CVE-2026-111943: GitLab gỡ tám chứng chỉ CA trung gian của eMudhra có khoá riêng đã bị lộ khỏi kho chứng chỉ đi kèm GitLab. GitLab khuyến nghị mạnh mẽ mọi bản cài tự quản (self-managed) nâng cấp. Hai số phiên bản 19.5.2 và 19.4.4 bị bỏ qua.
Bối cảnh: theo Help Net Security, tám chứng chỉ trung gian của nhà cung cấp chứng thư số Ấn Độ eMudhra dùng khoá riêng yếu đến mức (giá trị nhỏ hơn 256) bất kỳ ai cũng có thể tìm lại từ chứng chỉ công khai trong chưa đến một giây. Sáu chứng chỉ dùng cấp chứng chỉ TLS, hai dùng ký mã. Một nhà nghiên cứu tên Wayne báo cáo vấn đề ngày 17/10. Có khoá này, kẻ tấn công có thể giả mạo chứng chỉ HTTPS cho tên miền không thuộc quyền mình, và các chứng chỉ đó nối tới gốc được Apple, Google, Microsoft và Mozilla tin cậy.
Tình hình hiện tại: theo AWS, eMudhra đã thu hồi các chứng chỉ trung gian ngày 18/10 và CA ký chéo (Sectigo) thu hồi bản của mình ngày 19/10. eMudhra cho biết chỉ một chứng chỉ từng được đưa vào vận hành và không chứng chỉ nào được dùng để cấp chứng chỉ cho khách hàng. Chưa rõ có ai đã tìm ra và sử dụng các khoá này trong 17 tháng trước khi lỗi được báo cáo hay không. AWS lưu ý máy khách bắt buộc kiểm tra thu hồi theo kiểu fail-closed không bị ảnh hưởng, nhưng phần mềm dùng kho tin cậy đóng gói riêng sẽ vẫn tin các chứng chỉ này cho tới khi được cập nhật. Các nguồn chúng tôi đọc chưa ghi nhận việc khai thác.
Chỉ nâng cấp GitLab là chưa đủ. GitLab cho biết GitLab Runner tự host phải cập nhật riêng lên 19.5.1, và cần build lại các image chạy job CI/CD có gói ca-certificates riêng. AI Gateway tự host phải lên 18.11.8, 19.0.13, 19.1.9, 19.2.5, 19.3.3, 19.4.3, 19.5.3 hoặc mới hơn. GitLab.com đã được vá; khách hàng GitLab Dedicated từ 19.4.3-internal0 trở lên không cần làm gì.
Lưu ý thời gian dừng: 19.5.3 và 19.4.5 có migration cơ sở dữ liệu, nên hệ thống một node sẽ dừng cho tới khi migration chạy xong; hệ thống nhiều node có thể dùng quy trình nâng cấp không downtime.
