GitLab满分漏洞波及12年全部版本

IT时代网10月22日消息，项目管理平台GitLab发布重大安全更新，修复一项CVSS评分高达10.0的满分严重漏洞CVE-2026-110264，攻击者在特定条件下无需任何登录权限，即可在自建服务器上远程执行任意代码。

该漏洞影响范围可追溯至2014年发布的7.0版本，波及长达12年的所有版本。漏洞属于整数溢位问题：当系统编译经过特殊构造的正则表达式时可能引发整数溢位，进而使未经身份验证的攻击者取得远程代码执行权限。漏洞根源在于GitLab封装的Ruby内建正则表达式编译引擎。

漏洞由安全研究员joaxcar发现，这是其一个月内第四次在GitLab正则表达式引擎中找出代码执行漏洞。此前GitLab于9月下旬修复两项需登录权限的9.9分漏洞，10月12日修复同样无需身份验证的满分漏洞，但前三项影响仅限于新版，本次漏洞则全面影响旧版本。

GitLab尚未公开触发该漏洞的具体前提条件，目前无迹象显示已被实际利用。官方表示该满分漏洞除拔网线外没有任何临时缓解措施，用户需更新至19.0.10、19.1.9、19.2.9、19.3.6、19.4.3或19.5.1，7.0至18.11版本用户更新至18.11.13。

注：本文中包含AI辅助创作的内容。

编辑：周艺