美國網路安全暨基礎設施安全局（CISA）10 月 29 日將 DevSecOps 平台供應商 GitLab 的 CVE-2026-97229 列入已知遭利用漏洞（KEV）目錄，要求聯邦機構於 11 月 1 日前完成修補。這是 GitLab 九月以來第三個 CVSS 10.0 的漏洞，其中兩個已被 CISA 列為遭利用。
惡意正規表示式可觸發遠端程式碼執行
CVE-2026-97229 位於 CI/CD 設定的正規表示式（regular expression）編譯器，屬於整數溢位（integer overflow）漏洞。GitLab 表示，由於正規表示式驗證不足，未經驗證的使用者可能藉由 CI/CD 設定中特製的運算式，在 GitLab 伺服器上執行任意程式碼。依 CVSS 向量，攻擊可經網路遠端發動，攻擊複雜度低，不需權限與使用者互動，對機密性、完整性與可用性的影響皆為高。受影響的是 19.2、19.3 與 19.4 系列的社群版（Community Edition，CE）與企業版（Enterprise Edition，EE）。
研究人員 joaxcar 透過 GitLab 的 HackerOne 漏洞賞金計畫通報此問題。GitLab 已於 10 月 12 日發布 19.4.2、19.3.5 與 19.2.8 修補版本。GitLab 也為自架（self-managed）環境提供 6 項威脅偵測規則，涵蓋 Onigmo 原生工作程序當機、CI lint 工作程序當機與惡意正規表示式等跡象。GitLab 依政策，漏洞細節將於修補 90 天後公開。
Alpine Linux 遭鎖定，攻擊未遂
據外媒報導，此次列管與 Alpine Linux（注重安全的 Linux 發行版）揭露的事件有關。Alpine 指出，10 月 20 至 21 日，不明攻擊者對其未修補的 GitLab 執行個體送出特製 CI 設定，造成工作程序當機 8 次，其中 4 次在下一步失敗，攻擊者也下載了其 GitLab 容器映像檔。10 月 25 至 26 日的後續嘗試遭到阻擋。Alpine 表示未發現攻擊得手的證據，但無法排除，因此將該執行個體視為已遭入侵並重建，aports 儲存庫、套件與 10 月 21 日的版本未遭竄改。
九月以來第三個滿分漏洞
GitLab 的漏洞問題並非首見。今年 1 月，GitLab 修補了高風險的雙因素驗證（2FA）繞過漏洞 CVE-2026-0723。9 月 10 日，GitLab 修補儲存庫提交 API 的最高嚴重度漏洞 CVE-2026-85706，成因是路徑限制不當與缺少驗證機制，未經驗證的攻擊者可讀取憑證等機敏資料。資安公司 watchTowr 指出，只要有一個公開專案存在，就能被利用，CISA 隔天即將其列入 KEV。
10 月 21 日，GitLab 又修補正規表示式編譯器的另一個滿分漏洞 CVE-2026-110264。這與 CVE-2026-97229 是不同的漏洞，已升級至 10 月 12 日版本的管理者仍須再升級，例如 19.4 系列需升至 19.4.3。據外媒報導，該漏洞影響的版本可回溯至 7.0，GitLab 尚未公開觸發條件。外媒也指出，CISA 自 2021 年 11 月以來，已將 6 個 GitLab 漏洞標為遭利用。
平台承載原始碼與機密，成為攻擊者目標
watchTowr 的威脅情報主管 Jake Knott 九月曾對外媒表示，GitLab 一旦遭未授權存取，攻擊者可取得原始碼、CI/CD 機密與憑證，並可能在建置管線植入程式碼，影響下游，這類平台今年一直是攻擊者偏愛的目標。據外媒報導，GitLab 平台為逾半數財星百大企業採用。網路威脅監測組織 Shadowserver 追蹤到約 2,800 個對外暴露的 GitLab 社群版執行個體，但未說明其中有多少已完成修補。
管理者應採取的行動
CISA 提醒，包含民間企業在內的所有資安團隊都應優先處理此漏洞。自架 GitLab 管理者可採取以下做法：
- 升級至 19.4.2、19.3.5、19.2.8 或更新版本，以修補 CVE-2026-97229
- 另確認已套用 CVE-2026-110264 的修補版本，例如 19.5.1、19.4.3、19.3.6、19.2.9
- 參考 GitLab 提供的威脅偵測規則，檢視是否出現工作程序異常當機等可疑活動
本文參考 The Hacker News、BleepingComputer 等外媒報導與 GitLab 官方公告編譯。