【快更新 ⚠️】昨晚全球 IT 人打了一整晚的「丁」，今朝起身即被嚴重震撼。專案管理平台 GitLab 緊急發布重大安全性更新，修補一項 CVSS 評分高達… · @hkepcmedia · TwKit

@hkepcmedia

【快更新 ⚠️】昨晚全球 IT 人打了一整晚的「丁」，今朝起身即被嚴重震撼。專案管理平台 GitLab 緊急發布重大安全性更新，修補一項 CVSS 評分高達滿分 10.0 的嚴重安全漏洞。攻擊者在特定條件下，無需取得任何登入權限，即可在自建伺服器（Self-managed Server）上遠端執行任意程式碼（RCE）。更引人關注的是，該漏洞影響範圍可追溯至 2014 年發布的 7.0 版本，波及長達 12 年來的所有釋出版本。   該漏洞編號為 CVE-2026-110264，屬於最高威脅等級。GitLab 官方指出，當系統編譯經過特殊構造的正則表達式（Regular Expression）時，可能引發整數溢位（Integer Overflow），進而使未經身份驗證的攻擊者取得遠端程式碼執行權限。   儘管 GitLab 尚未具體公開觸發該漏洞的前提條件，目前亦無跡象顯示此漏洞已遭黑客用於實際攻擊，但所有使用 GitLab 自建伺服器（Self-managed）的用戶仍需立即採取升級行動。   之所以會波及長達 12 年的歷史版本，問題根源在於 GitLab 所封裝的核心組件。該漏洞源於 Ruby 內建的正則表達式編譯引擎「Onigmo」，由於 GitLab 在自家的套件與建置環境中直接包含並維護該引擎，導致自 7.0 版以來的每一版 GitLab 均帶有此底層風險。   此漏洞由資安研究員「joaxcar」發現並回報。這已是該名研究員在短短一個月內，第四次在 GitLab 的正則表達式引擎中抓出程式碼執行漏洞。在此之前，GitLab 曾於 9 月 23 日修補需要登入權限的 CVE-2026-93577 與 CVE-2026-89078（CVSS 皆為 9.9），並於 10 月 12 日修補了同樣無需身份驗證的 CVSS 10.0 漏洞 CVE-2026-97229。但前三項漏洞的影響僅止於 19.2 版，本次漏洞影響則全面穿透至遠古版本。   如果你正在使用 GitLab，應立即更新至 19.0.10、19.1.9、19.2.9、19.3.6、19.4.3 或 19.5.1，7.0 至 18.11 版本的用家請更新至 18.11.13。官方強調，CVSS 10 分的漏洞等同見光死，除了「拔 Lan 線」之外沒有任何臨時緩解措施或配置規避方法，直接安裝修補版本是目前唯一可靠的防禦手段。

曝光 926 · 评论 1 · 点赞 15 · 书签 1