北京
一个不用账号、不用交互、点一下就能在服务器上执行任意代码的漏洞，CVSS评分直接拉满到10.0。GitLab在2026年10月12日发布了紧急安全更新，修的就是这个编号为CVE-2026-97229的问题。
受影响的是GitLab社区版和企业版。对于把代码仓库、CI/CD流水线都托管在自建GitLab上的团队来说，这不是一次可以拖到下周再处理的更新。
问题出在CI/CD的正则编译器里
漏洞的根源是GitLab CI/CD正则表达式编译器中的一个整数溢出。正则表达式是用来匹配或过滤数据的文本模式，GitLab在CI/CD配置里会用到它。
GitLab的说法是，正则表达式验证不充分，可能让未认证的攻击者通过CI/CD配置中一个特制的表达式触发代码执行。处理恶意模式时，被攻陷的可能是GitLab服务器本身。
这里要分清一件事：这是服务端代码执行，不是访客浏览器里跑的恶意JavaScript。前者意味着服务器上的数据和运行都可能受到威胁，对自建GitLab的组织来说性质严重得多。
GitLab的安全公告提到，利用在某些条件下可行。但公告没有给出完整的攻击链，也没有说明具体需要哪些条件。不过CVSS向量本身透露了不少信息：网络访问、低攻击复杂度、无需权限、无需用户交互，同时在机密性、完整性和可用性三项上都给了高影响。
和9月那批漏洞的关键区别
GitLab在9月刚修过一批CI/CD正则相关的严重漏洞。那批漏洞需要认证才能利用，而这次披露的问题可以不用任何账号就发起攻击。
公告没有说明这两批漏洞是否共享同一个底层原因。这个区别对运维来说很实际：过去可能觉得"反正要登录才能打"，这次的前提条件被拿掉了。
需要说明的是，发布通知里没有说这个漏洞已经在真实攻击中被利用过。GitLab把发现功劳给了安全研究员joaxcar，是通过HackerOne漏洞赏金计划上报的。
该升级到哪个版本
受影响的版本范围是：
- 19.2系列，19.2.8之前的版本
- 19.3系列，19.3.4之前的版本
- 19.4系列，19.4.2之前的版本
自建实例的管理员应尽快升级到对应的修复版本。GitLab.com已经运行在修复后的版本上，GitLab Dedicated的客户不需要采取行动。
这次发布还修了其他一些安全问题，包括跨站脚本、授权失败，以及GitLab Duo Agent Platform中一个与提示相关的问题。之前GitLab的CI/CD授权漏洞更新也说明了一件事：管理员应该看完整的补丁说明，而不是只盯着标题里那个最严重的漏洞。
升级前先知道这个已知bug
GitLab提醒，19.3.4版本有一个已知bug，在启用Ona集成时会影响合并请求页面。修复计划放在19.3.5。
管理员在升级时需要把这个情况考虑进去，但不要因此忽略那个紧急安全修复。GitLab链接的实例安全指南提供了更广泛的安全建议。
对自建GitLab的团队来说，眼下的动作很明确：核对版本号，升级到19.2.8、19.3.4或19.4.2，同时留意19.3.4那个合并请求页面的已知问题。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
