CVE-2026-110264：关键的 GitLab RCE 漏洞影响12年发布版本

GitLab 已发布紧急安全更新，以解决 CVE-2026-110264，这是一个严重程度最高的漏洞，可能允许未经认证的攻击者在易受攻击的自管 GitLab 服务器上执行任意代码。该漏洞的 CVSS 分数为 10.0，影响 GitLab 社区版 (CE) 和企业版 (EE)。

该漏洞尤其值得注意，因为受影响的代码可以追溯至 2014 年发布的 GitLab 7.0。这使得大约 12 年的 GitLab 版本处于易受攻击范围内，尽管目前没有证据表明攻击者在此期间一直在利用该弱点。GitLab 于 2026 年 10 月 21 日披露了该问题并发布了修复版本。

该漏洞起源于当 GitLab 编译特制会触发整数溢出的正则表达式时。在某些条件下，未认证的攻击者可以利用该条件在底层 GitLab 服务器上执行任意代码。GitLab 故意保留了完整的利用路径和特定的先决条件，以便管理员部署补丁。

对于运行自管 GitLab 基础设施的组织，潜在的影响是严重的。GitLab 仓库经常包含源代码、CI/CD 配置、部署密钥、访问令牌、基础设施定义和生产环境的连接。因此，服务器级别的妥协可能会造成凭证盗窃、仓库操控、供应链攻击、持久性或横向移动的机会。

寻找 CVE-2026-110264 检测机会的安全团队可以利用 SOC Prime 的 AI-Native Detection Intelligence Platform，加强对漏洞利用和相关事后妥协行为的可见性，横跨 SIEM、EDR 和数据湖环境。

点击 探索检测 以访问相关的检测内容和狩猎逻辑。为了检测 CVE-2026-110264 的利用尝试，防御者应将 GitLab 应用程序遥测与进程执行、异常服务器行为和 GitLab 新发布的威胁检测逻辑进行关联。

安全从业者还可以使用 Prime Architect 将新兴的漏洞情报转化为 Sigma 规则和狩猎查询，验证检测逻辑，生成相关的攻击流程，并将检测内容翻译到支持的安全平台上。

联系销售

CVE-2026-110264 分析

GitLab 将该漏洞描述为其正则表达式编译器中的整数溢出。在特定条件下，编译特制的正则表达式可能导致未经认证的情况下在 GitLab 服务器上执行任意代码。

GitLab 为该漏洞分配了最高的 CVSS v3.1 分数 10.0，其中向量为 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H。这反映了一个可以通过网络访问的漏洞，具有低攻击复杂性，不需要权限，也无需用户交互，可能对机密性、完整性和可用性产生高度影响。

安全研究员 joaxcar 通过 GitLab 的 HackerOne 漏洞奖励计划发现并报告了该漏洞。GitLab 的发布说明还提到修复了 Ruby 正则表达式处理的漏洞，同时报告显示受影响的底层引擎是 GitLab 包中捆绑的 Ruby 的正则表达式实现 Onigmo。

CVE-2026-110264 影响 GitLab CE 和 EE，范围异常广泛：

• GitLab 7.0 到 18.11.13 之前的版本
• GitLab 19.0 之前的 19.0.10
• GitLab 19.1 之前的 19.1.9
• GitLab 19.2 之前的 19.2.9
• GitLab 19.3 之前的 19.3.6
• GitLab 19.4 之前的 19.4.3
• GitLab 19.5 之前的 19.5.1

GitLab 修复了 18.11.13、19.0.10、19.1.9 和 19.2.9 的补丁，并修复了其他正常支持的补丁分支，因为其严重性和异常的广泛暴露。

漫长的漏洞窗口并不意味着自 2014 年以来该漏洞一直在被积极利用。相反，易受攻击的正则表达式功能存在于可以追溯到 GitLab 7.0 的版本中。截至 2026 年 10 月 22 日，GitLab 和提供的报告都未确认在现实世界攻击中利用。

这一漏洞不应与 CVE-2026-97229 混淆，后者是另一个与正则表达式处理相关的严重 GitLab 远程代码执行漏洞，该漏洞已于 10 月早些时候修补。该问题影响范围更窄，涵盖更新版本的发布。安装 10 月 12 日对该漏洞的修补并不能自动保护系统免受新披露漏洞的影响。

因此，最近更新了 GitLab 的管理员需要验证其确切安装构建，而不是假设之前的 10 月安全发布提供了足够的保护。

目前提供的 CVE-2026-110264 细节未披露精确的攻击者控制输入、端点、特征或达到易受攻击的正则表达式编译器所需的条件。GitLab 通常在包含修复的发布 90 天后对详细的安全问题进行公开，旨在减少武器化技术信息的立即可用性，同时客户进行补丁。

在提供的报告或 GitLab 咨询中尚未披露任何公共 CVE-2026-110264 演示。Cybersecurity News特别指出 GitLab 并未发布公共漏洞利用，而公司限制了完整攻击路径的披露。

同时，公共概念验证缺失不应被视为低风险。一个远程可到达、未经认证的 CVSS 10.0 评级漏洞构成一个有吸引力的目标，尤其是因为自管 GitLab 服务器常常暴露于互联网。

目前没有特定于活动的 CVE-2026-110264 危害指标（IOC），如恶意 IP 地址、域名、有效载荷哈希或确认的漏洞请求模式，因为 GitLab 或受引述的安全研究人员均未报告活动利用。

然而，GitLab 已发布两个威胁检测，旨在识别自管安装上的可能利用尝试：

• Onigmo 本地工作线程崩溃
• Org 模式渲染错误激增

这些检测旨在识别触发漏洞的尝试相关的可疑行为。它们的存在本身并不能确认成功的妥协，应与更广泛的应用和端点遥测相关联。

安全团队应调查意外的 GitLab 应用崩溃、渲染错误激增、GitLab 或 Ruby 组件来源的异常进程、意外的 Shell 执行、新创建的持久性机制以及偏离正常操作模式的来自 GitLab 服务器的外向连接。

CVE-2026-110264 缓解

GitLab 强烈建议所有运营受影响自管安装的组织立即升级。修复版本为：

GitLab.com 已经更新。运行内部版本 19.3.5-internal0、19.4.2-internal0 或更高版本的 GitLab Dedicated 租户已经包含必要的修补，无需就该漏洞采取行动。

自管客户在等待额外的利用细节期间不应延误缓解。GitLab 尚未发布替代的提供等效保护的变通方案，因此安装修复版本是可靠的缓解路径。

在升级之前，管理员应查看 GitLab 的升级文档并考虑数据库迁移。GitLab 提醒说单节点部署可能会经历停机以完成迁移，而配置良好的多节点环境可以遵循供应商的无停机升级流程。版本 19.3.6 和 19.4.3 包含常规迁移，而 19.4.3 还包括部署后的迁移。

补丁后，安全团队应进行回溯分析，而不是将更新行为本身视为服务器从未被瞄准的证明。审查 GitLab 应用日志中的两个由 GitLab 发布的利用指标，并调查升级前的可疑活动。

防御者还应检查操作系统遥测以寻找：

• 从 GitLab、Ruby 或相关工作程序产生的意外子进程
• 在 GitLab 服务帐户下的 Shell 或脚本解释器执行
• 新的 SSH 密钥或管理帐户
• 对仓库或 CI/CD 管道的意外修改
• 新创建的计划任务或持久性机制
• 对运行者、部署令牌、个人访问令牌和项目访问令牌的更改
• 来自 GitLab 服务器的异常外向连接
• 对存储在 CI/CD 变量中的机密的未经授权的访问
• 对包、发布或仓库的意外修改

如果怀疑受到妥协，组织应隔离服务器，保留日志和取证文物，轮换可能暴露的凭证和令牌，并验证仓库和 CI/CD 工作流的完整性，然后再将实例返回生产。

由于 GitLab 安装通常作为软件开发流水线中的可信基础设施，一旦处理完毕，响应者还应确定攻击者是否有可能修改了源代码、工件、容器镜像、基础设施即代码模板或部署工作流。即便原始服务器已修复，受损的 GitLab 服务器依然可能造成下游供应链风险。

SOC Prime 的 AI-Native Detection Intelligence Platform 可以帮助组织通过提供不断更新的行为检测内容、映射到 MITRE ATT&CK®，从而增强其对新兴漏洞利用的检测姿态。

免责声明： 检测内容可能并不适用于每个 CVE。在 SOC Prime 平台上查看当前覆盖范围。如果相关检测尚不可用，请回访，因为新的威胁情报和检测内容正在持续添加。