自架
該標籤下有 3 篇文章
Nextcloud 內建 Collabora CODE 伺服器 CVE-2026-110447 遭利用：影響範圍與處置方式
2026 年 10 月 14 日，Collabora Online 開發者揭露 CVE-2026-110447，這是 Nextcloud 應用程式 Collabora Online - Built-in CODE Server（應用程式 ID richdocumentscode）中無需驗證的作業系統指令注入漏洞。透過該應用程式的 proxy.php，指令可以以網頁伺服器使用者的身分執行。條件是內建 CODE 伺服器未在執行，這可能發生在容器重新啟動、升級或當機之後。26.4.303 之前的版本受影響；26.4.303 於 9 月 11 日發布。開發者表示停用此應用程式無法防止問題，並要求使用者更新或移除。在已停止維護的 Nextcloud 29 及更早版本上，請更新 Nextcloud 或移除此應用程式。開發者表示，獨立的 Collabora Online 伺服器、Docker 映像檔、RPM/DEB 套件以及 Nextcloud All-in-One 不受影響。CVSS v4.0 分數為 9.2。CISA 於 10 月 23 日將此漏洞加入「已知遭利用漏洞」（KEV）目錄，截止日期為 10 月 26 日。使用者在開發者的儲存庫中回報，約自 9 月 10 日起出現攻擊，據媒體報導，已有網頁後門（web shell）被植入。本站的結論：若已安裝內建 CODE 應用程式，即使已停用，也請今天就檢查其版本，更新或移除，然後檢查自 9 月 10 日起是否有入侵痕跡。
GitLab CVE-2026-110264（CVSS 10.0）與已遭利用的 CVE-2026-97229：如何檢查並更新自架 GitLab
2026 年 10 月 21 日，GitLab 針對社群版（CE）與企業版（EE）發布重大修補版本 19.5.1、19.4.3、19.3.6、19.2.9、19.1.9、19.0.10 與 18.11.13。最嚴重的漏洞 CVE-2026-110264（CVSS 10.0）是在編譯特製正規表示式時發生的整數溢位，在特定條件下，未經驗證的使用者可能藉此在 GitLab 伺服器上執行任意程式碼。自 7.0 起幾乎所有版本都受影響。10 月 29 日，CISA 將與之相近的漏洞 CVE-2026-97229（CVSS 10.0，CWE-190）列入已知遭利用漏洞（KEV）目錄，處置期限為 11 月 1 日。它是同一類漏洞（CI/CD 正規表示式編譯器中的整數溢位，未經驗證的使用者即可觸及），GitLab 已於 10 月 12 日在 19.4.2、19.3.5 與 19.2.8 中修復，僅影響 19.2.0 至 19.2.7、19.3.0 至 19.3.4 與 19.4.0 至 19.4.1。仍低於 19.4.2、19.3.5 或 19.2.8 的執行個體，暴露在一個已遭利用的漏洞之下。升級到本文建議的版本（19.5.1、19.4.3、19.3.6、19.2.9）同樣可以修復 CVE-2026-97229。GitLab.com 已完成修補，自架執行個體需要升級。10 月 21 日的同一次發布還修復了兩個高風險漏洞（CVSS 8.2 與 7.5）以及其他漏洞，但這些修補僅在 19.3.6、19.4.3 與 19.5.1 版本線中提供。問題的根源在於 Ruby 的正規表示式引擎（Onigmo），Ruby 於 10 月 23 日發布了 4.0.9、3.4.12 與 3.3.13。從攻擊者可控字串編譯正規表示式的應用程式會受影響，而 Regexp.timeout 無法防護這些錯誤。GitLab 的公告未說明 CVE-2026-110264 已遭利用，截至 10 月 30 日它也不在 KEV 中。Alpine Linux 報告稱，其自己的 GitLab 在 10 月 20 日和 21 日遭到透過 CVE-2026-97229 的攻擊嘗試，並且只升級 GitLab（到 19.3.6）沒有堵住該漏洞，因為修復還需要打過修補的 Ruby；它重建了該執行個體，並未發現攻擊者程式碼被執行的證據。本站的結論：核對必須經過的升級停靠點後，今天就升級自架 GitLab，最終升級到 19.3.6 或更高版本；如果您自行建置 GitLab 或執行自己的 Ruby，也請確認 Ruby 為 3.3.13、3.4.12 或 4.0.9 或更高版本。Ruby 應用程式應升級到已修正的 Ruby，並停止從使用者輸入建構正規表示式。
自建 Git 伺服器和 GitHub，從安全角度看哪個更安全
自建 Git 不是『變安全』，而是『轉移風險』。誤公開這一類事故確實會消失，但伺服器修補、備份、提交前金鑰偵測的責任會轉移到你身上。能持續做這些工作就是好選擇，放任不管則比 GitHub 更危險。本站視角＝自建維運必須連同補償性的控制一起，否則無法成立。