GitLab CI/CD 未授权 RCE CVE-2026-97229 满分 10.0 处置提示

GitLab 这次这个，CVSS 满分 10.0，编号 CVE-2026-97229，10 月 12 日 GitLab 走的紧急发布。满分不常见，值得单独写一篇。



漏洞在 CI/CD 用来编译正则表达式的那个组件上，是个整数溢出（CWE-190）。CI/CD 配置里带的正则表达式校验不充分，精心构造的表达式在编译阶段溢出，然后在 GitLab 服务器上以 git 账号执行任意代码——就是那个持有你所有仓库的账号。

官方给的向量是 AV:N/AC/PR:N/UI:N/S:C/C:H/I:H/A:H，网络可达、低复杂度、不需要权限、不需要用户交互、影响范围还跨了安全域，所以满分。

受影响的是自托管的 GitLab CE 和 EE，三个分支：

19.2.0 到 19.2.7
19.3.0 到 19.3.4
19.4.0 到 19.4.1

对应的修复版本是 19.2.8、19.3.5、19.4.2。GitLab.com 已经跑在修好的版本上，Dedicated 客户不用动，风险全在自建实例这边——而自建实例上通常放着源码、流水线变量和部署凭证，这也是这个洞最要命的地方。

查当前版本，Omnibus 安装的直接看这个文件：

cat /opt/gitlab/embedded/service/gitlab-rails/VERSION

或者登录后在浏览器里打开 /help 页面看版本号。Docker 部署的看镜像 tag：

docker ps

升级这块，SentinelOne 的漏洞库给的是按分支升到对应修复版，Debian / Ubuntu 包安装：

sudo apt-get update
sudo apt-get install gitlab-ee=19.4.2-ee.0
sudo gitlab-ctl reconfigure
sudo gitlab-ctl restart

注意改成你自己分支对应的那个版本号，19.2 分支用 19.2.8、19.3 分支用 19.3.5。升之前先备份：

sudo gitlab-backup create

升完验证服务状态：

sudo gitlab-ctl status

配置层面官方没给开关，没有能直接把这个编译器禁掉的设置项，所以缓解只能靠收攻击面：关掉开放注册（Admin → Settings → General → Sign-up restrictions），新用户改成管理员审批；实例不需要对公网开放的话用 VPN 或 IP 白名单限制网络访问；临时用 WAF 或反向代理对异常的 CI/CD 配置请求做限流或拦截；公开项目的 CI 设置复查一遍。怀疑已经被打过的，流水线密钥、runner 注册令牌、个人访问令牌、部署密钥全部轮换。

还有一件事：Rapid7 在官方镜像 gitlab-ce:19.4.1-ce.0 上端到端复现了，以 git 系统账号执行命令成功，10 月 16 日已经有可用的公开 PoC。Censys 在披露时统计到约 25766 台运行受影响版本的暴露主机。披露时没有确认的在野利用，但 PoC 公开之后这个窗口通常按天算。

来源：

1. GitLab 官方补丁发布公告 19.4.2 / 19.3.5 / 19.2.8
https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-4-2-released/

2. Knowledge Base Linux：CVE-2026-97229 Critical GitLab RCE (CVSS 10.0)
https://kblinux.com/cve-2026-97229-gitlab-rce

3. CyberSixt 对 GitLab 公告与 Rapid7 分析报告的转述
https://cybersixt.com/a/oCjn7FZfcX6_D2ChudZcOO

4. SentinelOne 漏洞库 CVE-2026-97229
https://www.sentinelone.com/vulnerability-database/cve-2026-97229

5. INCIBE-CERT《Múltiples vulnerabilidades en productos de GitLab》
https://www.incibe.es/incibe-cert/alerta-temprana/avisos/multiples-vulnerabilidades-en-productos-de-gitlab

真实性核对说明：CVE 编号、CVSS 10.0 与向量、整数溢出（CWE-190）位于 CI/CD 正则编译器、受影响范围 19.2.0–19.2.7 / 19.3.0–19.3.4 / 19.4.0–19.4.1、修复版本 19.2.8 / 19.3.5 / 19.4.2、GitLab.com 已修补且 Dedicated 无需操作、Rapid7 已复现并有公开 PoC，以上各项在 GitLab 官方公告、KBLinux、CyberSixt、SentinelOne 四个来源上一致，CVSS 10.0 为 GitLab 官方评分。有一处需要说明：检索过程中另有一份中文站点把 19.3 分支的修复版本写成 19.3.4，与其余四个来源的 19.3.5 不符，判定为该来源笔误，本篇采用 19.3.5。披露时未见确认的在野利用，PoC 公开于 10 月 16 日，这条按来源原样保留。

HKTULU
2026-10-25