Ruby

GitLab CVE-2026-110264（CVSS 10.0）：如何檢查並更新自架 GitLab

2026 年 10 月 21 日，GitLab 針對社群版（CE）與企業版（EE）發布重大修補版本 19.5.1、19.4.3、19.3.6、19.2.9、19.1.9、19.0.10 與 18.11.13。最嚴重的漏洞 CVE-2026-110264（CVSS 10.0）是在編譯特製正規表示式時發生的整數溢位，在特定條件下，未經驗證的使用者可能藉此在 GitLab 伺服器上執行任意程式碼。幾乎所有 7.0 以後的版本都受影響。GitLab.com 已完成修補，自架安裝則需要升級。同一次發布也修復了兩個高風險（High）漏洞（CVSS 8.2 與 7.5）及其他漏洞，但這些修補只在 19.3.6、19.4.3 與 19.5.1 版本線提供。此問題的根源在 Ruby 的正規表示式引擎（Onigmo），Ruby 於 10 月 23 日發布 4.0.9、3.4.12 與 3.3.13。從攻擊者可控字串編譯正規表示式的應用程式會受影響，而 Regexp.timeout 無法防護這些錯誤。截至 10 月 25 日，尚未有遭利用的報告，此漏洞也未列入 CISA 的 KEV 目錄。本站結論：今天就應檢查必要的升級停靠點，並升級自架 GitLab，最終至少停在 19.3.6。Ruby 應用程式應移至修補後的 Ruby，並停止從使用者輸入建立正規表示式。