GitLab 警示最高严重级别的代码执行漏洞

# GitLab 警告存在最高严重性代码执行漏洞 来源：https://www.bleepingcomputer.com/news/security/gitlab-warns-of-max-severity-rce-flaw-in-regex-compiler-engine/ GitLab GitLab 今日警告用户立即修补 CI/CD 正则表达式编译器中的一个最高严重性漏洞，该漏洞可能允许远程攻击者在目标实例上执行任意代码。 该漏洞编号为 [CVE-2026-97229](https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-4-2-released/#cve-2026-97229---integer-overflow-issue-in-cicd-regular-expression-compiler-impacts-gitlab-ceee)，这是一处严重的安全缺陷，由一位使用 "joaxcar (https://hackerone.com/joaxcar)" 用户名的安全研究员发现，并通过 GitLab 的 HackerOne 漏洞赏金计划提交。 CVE-2026-97229 源于 GitLab CI/CD 正则表达式编译器中的[整数溢出缺陷](https://cwe.mitre.org/data/definitions/190.html)，该编译器负责解析、编译和评估项目流水线配置文件中的正则表达式。 该公司在周一发布的安全公告中[解释](https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-4-2-released/#cve-2026-97229---integer-overflow-issue-in-cicd-regular-expression-compiler-impacts-gitlab-ceee)道："GitLab 已修复了一个问题，在特定条件下，由于正则表达式验证不足，该问题可能允许未经身份验证的用户通过 CI/CD 配置中精心构造的正则表达式在 GitLab 服务器上执行任意代码。" GitLab 已在 GitLab 社区版（CE）和企业版（EE）的以下版本中修复了该安全问题：19.2 之前的 19.2.8、19.3 之前的 19.3.4 以及 19.4 之前的 19.4.2，并敦促用户立即修补其服务器。 该公告警告称："这些版本包含重要的缺陷和安全修复，我们强烈建议所有自托管 GitLab 安装立即升级到这些版本之一。GitLab.com 已经运行了修补后的版本。GitLab Dedicated 客户无需采取任何操作。" CVE-2026-97229 是 GitLab 近几个月来修复的一系列漏洞中的最新一个。一月份，GitLab 修补了一个[高严重性双因素认证绕过漏洞](https://www.bleepingcomputer.com/news/security/gitlab-warns-of-high-severity-2fa-bypass-denial-of-service-flaws/)（CVE-2026-0723），该漏洞允许知晓目标账户 ID 的攻击者在社区版和企业版服务器上绕过双因素认证。 上个月，GitLab 还修复了 [GitLab CE/EE 中的另一个](https://www.bleepingcomputer.com/news/security/gitlab-urges-users-to-patch-max-severity-path-traversal-flaw/)[最高严重性漏洞](https://www.bleepingcomputer.com/news/security/gitlab-urges-users-to-patch-max-severity-path-traversal-flaw/)（CVE-2026-85706），该漏洞允许未经身份验证的攻击者从受影响的服务器上读取敏感数据，例如凭据和其他机密信息。 次日，美国网络安全和基础设施安全局（CISA）将 CVE-2026-85706 [列入](https://www.cisa.gov/news-events/alerts/2026/09/11/cisa-adds-one-known-exploited-vulnerability-catalog)[已被在野利用的漏洞目录](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-85706)，并命令联邦机构在三天内修复其系统。 CISA 已标记了自 2021 年 11 月以来[被攻击中利用的五个 GitLab 漏洞](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search=&field_date_added_wrapper=all&field_cve=&sort_by=field_date_added&items_per_page=All&url=&f%5B0%5D=vendor_project%3A808)，其中包括一个被勒索软件团伙利用的漏洞。 GitLab 表示，超过 3000 万注册用户和超过 50% 的《财富》100 强企业正在使用其 DevSecOps 平台，包括 Nvidia、T-Mobile、Lockheed Martin、Airbus 和 Goldman Sachs。 文章图片 (https://hubs.li/Q04x67m50) ## 构建应对 AI 驱动攻击的安全蓝图 (https://hubs.li/Q04x67m50) 与 Mikko Hyppönen 以及来自 NFL、CHANEL 和 Atlassian 的安全负责人一同参加这场两小时的数字峰会，探讨 AI 速度的攻击改变了什么、防御者应该停止哪些做法，以及如何以机器速度完成验证、决策、修复和重新验证。 [立即预约席位](https://hubs.li/Q04x67m50)