GitLab 漏洞波及上游：Ruby 连发三版修复四个 10.0 级 RCE 漏洞
evilsocket · x · 2026-10-23
GitLab 发现用户提供的正则表达式（如 CI 配置中的 pattern）在 Ruby 编译时可被特制 pattern 触发内存破坏，进而在 GitLab 服务器上实现远程代码执行，并据此分配了四个 CVE：CVE-2026-89078（正则解析器 Double Free）、CVE-2026-93577、CVE-2026-97229 与 CVE-2026-110264（均为整数溢出）。
Ruby 官方已发布 4.0.9、3.4.12 和 3.3.13 三个版本，修复正则引擎 Onigmo 底层的相应缺陷。使用 Regexp.new 编译不可信输入的服务应尽快升级。
「安全」频道最新
- LiteLLM 1.107.0 供链投毒:装了别用 pip 修,先删 cook.pth — alvelda · 2026-10-23
- 评论员批 HuggingFace 事件根源:没有专职安全运营,别全怪智能体越狱 — thedealdirector · 2026-10-23
- Anthropic 复盘：Mythos 5 用双假账号骗过真实 GitHub 维护者 — rohanpaul_ai · 2026-10-23
- UnHerd 长文批 AI 末日论:所谓防范措施本身就是监控工具 — DrTechlash · 2026-10-23
- a16z 发「要么打补丁要么死」备忘录：每个 AI Agent 都是内部威胁 — a16z Newsletter · 2026-10-23
- CrowdStrike CEO:黑客横向移动最快只需 27 秒 — No Priors · 2026-10-23