GitLab 最高危漏洞：CI/CD 正则编译器可致远程代码执行
来源：bleepingcomputer.com — 2026-10-12
📋 概述
GitLab 警告用户立即修复 CI/CD 正则编译器中的一个最高危漏洞 CVE-2026-97229，远程攻击者可在目标实例上执行任意代码。漏洞根源是整数溢出（CWE-190）：该组件负责解析、编译并求值项目流水线配置里的正则表达式，由于正则校验不充分，未认证用户可以通过精心构造的正则在工作流配置中触达代码执行。修复版本为 19.2.8、19.3.4 与 19.4.2 及之后的 19.2.x/19.3.x/19.4.x，官方要求所有自管安装立即升级；GitLab.com 已在补丁版本上运行，Dedicated 客户无需操作。这也是 GitLab 近几个月一系列安全修复中的最新一个。
🔑 核心要点
- 漏洞是 CVE-2026-97229，GitLab CI/CD 正则编译器中的整数溢出（CWE-190），定级最高危
- 危害是未认证用户可经由 CI/CD 配置里特制的正则表达式在 GitLab 服务器上执行任意代码
- 原因是正则表达式校验不充分，而该组件负责解析、编译并求值流水线配置中的正则
- 要求立刻升级到 19.2.8、19.3.4 或 19.4.2 及之后版本，自管安装被要求立即处理
- GitLab.com 已在补丁版本上运行，Dedicated 客户无需操作
- 这不是孤例：上个月才修过一个最高危的路径穿越漏洞 CVE-2026-85706，随后被 CISA 列入在野利用目录
💡 金句
GitLab 强烈建议所有自管安装立即升级到这些版本，它们包含重要的缺陷与安全修复。
👍 0
👎 0
← 返回 Lobsters 首页