2026年10月12日，GitLab 已解决 CVE-2026-97229，这是其 CI/CD 正则表达式编译器中的一个关键漏洞，可能允许未经身份验证的攻击者在易受攻击的服务器上执行任意代码。该漏洞影响 GitLab 社区版（CE）和企业版（EE），并具有 CVSS v3.1 评分 10.0，这是可能的最高严重性评级。
什么是漏洞？
CVE-2026-97229 是与 GitLab 的 CI/CD 正则表达式编译器中的不充分正则表达式验证相关的整数溢出漏洞。一个特别构造的表达式可能触发该漏洞，并可能导致远程代码执行。由于不需要身份验证，易受攻击的安装可能面临重大风险，特别是在通过互联网可访问时。
成功利用该漏洞可能会使源代码、CI/CD 基础设施和可访问受损服务器的敏感信息面临风险。实际影响将取决于与安装相关的权限和集成。
研究安全性
受影响和修复版本
该漏洞影响 GitLab 社区版（CE）和企业版（EE）。
GitLab 19.2.x：受影响的版本为 19.2.8 之前的版本。请升级至 19.2.8。
GitLab 19.3.x：受影响的版本为 19.3.4 之前的版本。请升级至 19.3.4。
GitLab 19.4.x：受影响的版本为 19.4.2 之前的版本。请升级至 19.4.2。
管理员应验证其安装的版本，并应用适当的安全更新或包含修复的后续支持版本。
比较安全性
推荐行动
运行自托管 GitLab 的组织应优先修补受影响的实例，特别是那些暴露于互联网的实例。
升级后，检查应用程序和系统日志以寻找可疑活动，并检查 CI/CD 管道是否有意外更改。如果怀疑被攻陷，请调查连接的运行器、代码库和部署环境。在调查需要时，轮换可能暴露的凭据。
可用的咨询信息并未独立确认该漏洞在野外的主动利用。
结论
CVE-2026-97229 突出了与软件开发基础设施相关的安全风险。处理 CI/CD 配置的组件中的漏洞可能会使支持组织软件交付管道的服务器暴露。
由于 CVSS 评分为 10.0 且不需要身份验证，该漏洞值得 GitLab 管理员的紧急关注。
官方参考：GitLab 关键补丁发布 — 2026年10月