GitLab修复六周内第三个10分漏洞，2014年7.0版以来的自建版本均受影响

宝玉（@dotey）发帖整理称，GitLab于10月21日修复编号CVE-2026-110264的漏洞，CVSS评分为满分10分：在某些条件下，外人无需登录就能在服务器上运行任意程序。2014年的7.0版至今的所有自建版本都受影响，10月12日刚补到的19.2.8、19.3.5、19.4.2也在内。

据其整理，这是GitLab六周内修复的第三个满分漏洞，第一个（9月10日修复的任意文件读取）已被用于攻击。后两个都出在GitLab使用的Ruby正则表达式引擎里，研究者joaxcar一个月内在该引擎上找出四个可远程运行程序的漏洞；这次的问题是整数溢出。

修复版本为19.5.1、19.4.3、19.3.6、19.2.9、19.1.9、19.0.10，18.11及更老版本统一升到18.11.13；GitLab这次破例多补了四条老版本线。19.4.3和19.3.6升级时要改数据库，单服务器部署会停机一段时间。GitLab.com和GitLab Dedicated官方称已修复。

宝玉称，GitLab公告未提是否被利用，The Hacker News报道称GitLab表示未发现被用于攻击的迹象；官方没有给出临时缓解办法，也没说明“某些条件”具体是什么，另发了两条检测规则供管理员排查日志。

以上为宝玉整理的GitLab公告与媒体报道，本社未独立核实。