CVE-2026-97229

GitLab CVE-2026-110264（CVSS 10.0）與已遭利用的 CVE-2026-97229：如何檢查並更新自架 GitLab

2026 年 10 月 21 日，GitLab 針對社群版（CE）與企業版（EE）發布重大修補版本 19.5.1、19.4.3、19.3.6、19.2.9、19.1.9、19.0.10 與 18.11.13。最嚴重的漏洞 CVE-2026-110264（CVSS 10.0）是在編譯特製正規表示式時發生的整數溢位，在特定條件下，未經驗證的使用者可能藉此在 GitLab 伺服器上執行任意程式碼。自 7.0 起幾乎所有版本都受影響。10 月 29 日，CISA 將與之相近的漏洞 CVE-2026-97229（CVSS 10.0，CWE-190）列入已知遭利用漏洞（KEV）目錄，處置期限為 11 月 1 日。它是同一類漏洞（CI/CD 正規表示式編譯器中的整數溢位，未經驗證的使用者即可觸及），GitLab 已於 10 月 12 日在 19.4.2、19.3.5 與 19.2.8 中修復，僅影響 19.2.0 至 19.2.7、19.3.0 至 19.3.4 與 19.4.0 至 19.4.1。仍低於 19.4.2、19.3.5 或 19.2.8 的執行個體，暴露在一個已遭利用的漏洞之下。升級到本文建議的版本（19.5.1、19.4.3、19.3.6、19.2.9）同樣可以修復 CVE-2026-97229。GitLab.com 已完成修補，自架執行個體需要升級。10 月 21 日的同一次發布還修復了兩個高風險漏洞（CVSS 8.2 與 7.5）以及其他漏洞，但這些修補僅在 19.3.6、19.4.3 與 19.5.1 版本線中提供。問題的根源在於 Ruby 的正規表示式引擎（Onigmo），Ruby 於 10 月 23 日發布了 4.0.9、3.4.12 與 3.3.13。從攻擊者可控字串編譯正規表示式的應用程式會受影響，而 Regexp.timeout 無法防護這些錯誤。GitLab 的公告未說明 CVE-2026-110264 已遭利用，截至 10 月 30 日它也不在 KEV 中。Alpine Linux 報告稱，其自己的 GitLab 在 10 月 20 日和 21 日遭到透過 CVE-2026-97229 的攻擊嘗試，並且只升級 GitLab（到 19.3.6）沒有堵住該漏洞，因為修復還需要打過修補的 Ruby；它重建了該執行個體，並未發現攻擊者程式碼被執行的證據。本站的結論：核對必須經過的升級停靠點後，今天就升級自架 GitLab，最終升級到 19.3.6 或更高版本；如果您自行建置 GitLab 或執行自己的 Ruby，也請確認 Ruby 為 3.3.13、3.4.12 或 4.0.9 或更高版本。Ruby 應用程式應升級到已修正的 Ruby，並停止從使用者輸入建構正規表示式。