GitLab 公告 CVSS 10.0 正規表示式漏洞：自架版本應立即升級
GitLab 於 2026 年 10 月 21 日發布多個版本的安全更新，修補一項影響 GitLab CE/EE 的重大漏洞。官方指出，在特定條件下，未驗證使用者可能藉由特製正規表示式觸發整數溢位，進而在 GitLab 伺服器執行任意程式碼。GitLab 將此漏洞評為 CVSS 10.0，並建議受影響的自架安裝立即升級至相應修補版本。
這是公告描述的潛在影響；公告沒有提供可重現的攻擊步驟，也沒有表示已觀察到實際利用。GitLab 同時列出其他安全修正，因此管理員應先確認執行中的版本，再按所在版本分支安排更新。
漏洞可能如何影響伺服器？
正規表示式是用來描述文字模式的規則。GitLab 說明，漏洞出現在編譯特製正規表示式時發生的整數溢位；在特定條件下，這可能讓未驗證使用者在伺服器上執行任意程式碼。這項描述說明的是風險機制與可能後果，不代表每個部署都能被利用。
公告描述的可能漏洞路徑，並非實際利用證據。
哪些版本需要升級？
公告列出 GitLab CE/EE 的受影響版本範圍及修補版本。請按你的部署所屬分支核對：
| 版本分支 | 受影響版本 | 修補版本 | |---|---|---| | 7.0 至 18.11 | 低於 18.11.13 | 18.11.13 | | 19.0 | 低於 19.0.10 | 19.0.10 | | 19.1 | 低於 19.1.9 | 19.1.9 | | 19.2 | 低於 19.2.9 | 19.2.9 | | 19.3 | 低於 19.3.6 | 19.3.6 | | 19.4 | 低於 19.4.3 | 19.4.3 | | 19.5 | 低於 19.5.1 | 19.5.1 |
這是公告列出的版本判斷範圍；實際是否受影響，仍須依照你部署的產品版本與分支核對。GitLab 表示 GitLab.com 已執行修補；GitLab Dedicated 使用 19.3.5-internal0、19.4.2-internal0 或更新版本的租戶已包含修正。這些託管服務狀態不能用來推定自架環境已修補。
升級時要留意什麼？
GitLab 對受影響的自架安裝建議立即升級到相應修補版。公告沒有列出此漏洞的暫時緩解措施；它另提到兩項供自架客戶使用、協助偵測 CVE-2026-110264 利用嘗試的威脅偵測：Onigmo native worker crash 與 Org mode render error burst。公告在此處列出偵測名稱，沒有提供設定方法或把它們描述為替代升級的措施。
更新前也要考慮資料庫遷移對維護時段的影響。GitLab 指出，單節點安裝在升級時會因遷移完成前 GitLab 無法啟動而停機；採用適當零停機升級程序的多節點部署則可在沒有停機的情況下套用更新。19.4.3 與 19.3.6 包含一般遷移，19.4.3 另包含可在升級後執行的遷移。部署後可對照上表確認實際版本已達所在分支的修補版，並依部署拓撲安排遷移與維護時段。
此次公告亦列出多項其他安全修正，涵蓋 OmniAuth 與 LDAP 帳號連結、OAuth/OIDC 探索端點快取、GraphQL 工作項目欄位權限等問題。各項修正的受影響產品、版本和嚴重性並不相同，完整細節與升級說明以 GitLab 官方公告 為準。
原文：https://easyvibecoding.app/curated/3524-gitlab-critical-regex-cve-2026-110264-patch
