GitLab 修复 CVSS 满分漏洞:未认证 RCE,影响可追溯至 2014 年所有版本
jedisct1 · x · 2026-10-22
GitLab 于 10 月 21 日发布修复，修补一个 CVSS 10.0 满分漏洞（CVE-2026-110264）：特制正则表达式编译时的整数溢出可让攻击者在自管服务器上无需登录执行任意代码，影响范围可追溯到 2014 年的 7.0 版本，覆盖 12 年的所有发布版本。
- 10 月 12 日的更新只覆盖 19.2+，9 天前刚打过补丁的实例再次落入受影响区间，需再升级一次。
- GitLab 一次性修复 7 个版本分支（19.5.1 至 18.11.13），其中 4 个版本超出常规支持范围。
- 仅自管部署需行动；GitLab.com 与 Dedicated 已内置修复。官方称未发现被利用迹象，也未被列入 CISA 已知被利用漏洞目录，但未说明触发漏洞的具体条件。
- 作者列举近期接连出事的 Emudhra、OpenCode、PingCAP、PHP、Node、LiteLLM 等，质疑下一个会是谁。
「安全」频道最新
- 136国1.18亿官媒文章数据集发布，审计LLM训练语料叙事偏向 — deliprao · 2026-10-22
- PHP 8.5.12 补丁后仍可触发 php2shell 双重释放漏洞 — basedjensen · 2026-10-22
- Cloudflare 安全审计 Skill 获 3.57 万星：把编码 agent 变成安全审计员 — Pytlicek · 2026-10-22
- Wiz 实锤 LiteLLM 供应链事件：失窃凭据已被用于 LLMJacking 滥用 — wunderwuzzi23 · 2026-10-22
- 供应链攻击困局:依赖要快补漏洞,又因后门不能补太快 — jd_pressman · 2026-10-22
- AI 安全研究者：安全末日考验的是人性本善与否 — moultano · 2026-10-22