GitLab 爆滿分 10.0 漏洞：2014 年以來所有自建版本全中招，免登入可遠端執行程式
GitLab 於 10 月 21 日緊急修補 CVE-2026-110264，CVSS 滿分 10.0。漏洞藏在內建的 Onigmo 正則表達式編譯器，未經登入的攻擊者即可遠端執行任意程式碼，影響範圍橫跨 12 年所有自建版本。
GitLab 在 10 月 21 日釋出緊急安全更新，修補編號 CVE-2026-110264 的重大漏洞，CVSS 嚴重度拿到滿分 10.0。這個漏洞讓未經身分驗證的遠端攻擊者有機會在伺服器上執行任意程式碼，而且影響範圍極廣：從 2014 年推出的 GitLab 7.0 起，每一個自行架設的版本都在中招名單上。
漏洞藏在正則表達式編譯器裡
根據 The Hacker News 的報導，問題的根源是 GitLab 內建的 Onigmo 正則表達式引擎。當伺服器編譯一段經過精心構造的正則表達式時，會發生整數溢位，進而讓攻擊者取得程式碼執行能力。Onigmo 是 Ruby 語言的正則引擎，GitLab 把它打包進自己的發行版本裡自行維護，也正因如此，只要是用到這套引擎的版本都逃不掉。
這次通報的研究人員代號 joaxcar，經由 HackerOne 回報。值得注意的是，這是他一個月內第四度在 GitLab 的正則引擎中找到可執行程式碼的漏洞：10 月 12 日修補的 CVE-2026-97229 同樣是滿分 10.0 的未授權溢位漏洞，9 月 23 日則修了兩個需要登入帳號才能觸發的同類問題。同一攻擊面被連續挖出四個洞，顯示這塊程式碼仍是研究人員眼中的肥沃獵場。
九天前才更新過的也還沒脫險
GitLab 一口氣為七個版本分支推出修復：19.5.1、19.4.3、19.3.6、19.2.9、19.1.9、19.0.10 與 18.11.13。特別的是，就連 10 月 12 日才套用過上一波更新的管理員也還在危險區內——上一波只涵蓋 19.2 之後的版本，而這次的修復版號正好比上一波高一階，等於把那批人又拉回了受影響範圍。
好消息是，GitLab.com 雲端版與 GitLab Dedicated 的租戶早已部署修復，只有自行架設的實例需要動手。官方也坦言尚未釐清觸發漏洞的具體前置條件，目前沒有證據顯示已被實際利用，截至 10 月 22 日也未列入美國 CISA 的已知被利用漏洞清單。
同批更新一次修掉 12 個漏洞
這次 10 月安全更新包總共處理 12 個漏洞：1 個重大、2 個高度、5 個中度、4 個低度。除了滿分的 CVE-2026-110264，還包括研究人員 stealthy 發現的 CVE-2026-15723（CVSS 8.2），攻擊者可利用 OmniAuth 轉 LDAP 自動綁定流程中的輸入檢查缺失，接管既有的 LDAP 帳號；以及內部成員 Peter Arts 發現的 CVE-2026-112212（CVSS 7.5），OAuth 與 OIDC 探索端點的快取投毒問題，可把登入流程導向外部伺服器。
為了協助管理員偵測是否遭人試探，GitLab 還透過開源的 TLDR 框架釋出兩條 Sigma 偵測規則，分別是「Onigmo 原生工作程序崩潰」與「Org 模式渲染錯誤爆發」，可用來掃描應用程式日誌中的攻擊痕跡。不過官方也直言，目前沒有任何臨時緩解手段，升級到修復版本是唯一的確實防護。
資料來源
- The Hacker News：Critical GitLab Flaw (CVSS 10.0) Could Allow Unauthenticated RCE Across 12 Years of Releases（2026-10-21）
- SecurityOnline.info：GitLab Critical Patch Release Fixes 12 GitLab Vulnerabilities（2026-10-21）