GitLab放出了一批紧急补丁。版本号一口气排到七个：19.5.1、19.4.3、19.3.6、19.2.9、19.1.9、19.0.10、18.11.13，社区版（CE）和企业版（EE）都在覆盖范围内。这批补丁修的是12个漏洞，其中1个被定为最严重的「紧急」级别。

打开网易新闻 查看精彩图片

这个漏洞编号CVE-2026-110264，CVSS十级评分里拿了满分10.0。描述写得很直白：特定条件下，编译一个特别构造的正则表达式会触发整数溢出，未认证用户可能借此在GitLab服务器上执行任意代码。未认证，意味着不需要账号，不需要登录，直接对着服务打。

打开网易新闻 查看精彩图片

影响范围是这次最扎眼的部分。受影响版本为GitLab CE和EE的7.0以降，一直到打上本次补丁之前的全部版本。7.0发布于2014年，也就是说这条攻击面横跨了大约12年的发布历史。跑着老版本的实例，一个都没躲开。

打开网易新闻 查看精彩图片

12个漏洞的严重度分布如下：

  • 紧急：1件（CVE-2026-110264）
  • 高：2件
  • 中：5件
  • 低：4件

这个漏洞由joaxcar氏通过HackerOne漏洞赏金计划报告。值得一提的是，GitLab在当地时间10月12日刚发过一轮补丁，处理了包括紧急级CVE-2026-97229在内的24个漏洞——那批补丁已经打上的实例，这次依然在修复对象里。上一轮修完不等于这一轮安全。

至于有没有被利用，GitLab的说法是：CVE-2026-110264没有被用于攻击的痕迹。美国网络安全和基础设施安全局（CISA）公开的「已知被利用漏洞列表」里也没有它。没被利用是运气，不是设计——一个未认证就能RCE、CVSS满分的洞，放在公网上多挂一天，就是在赌没人先找到它。

对运维来说，动作只有一件：对照版本号，把实例升到对应分支的最新补丁版。七个版本号看着乱，逻辑其实简单——你在哪个小版本线上，就升到那条线的最新一个。