加入 TWISA
選單

漏洞修補2026 年 10 月 22 日（四）

GitLab遠端程式碼執行風險：更新自架平台並檢查CI憑證

GitLab修補CVE-2026-110264（CVSS v3.1 10.0）與CVE-2026-15723（8.2）。自架GitLab應依原廠安全版本更新，並檢查CI憑證與帳號設定。

下載 PDF回資安告警
01

內文

自架 GitLab 不只存放原始碼，也可能連結 CI/CD、部署憑證與正式環境。 企業與不同據點若共用開發平台，應同步盤點內網、VPN 後方、委外代管及容器部署，避免只更新對外入口。

兩個漏洞，兩條不同攻擊路徑

GitLab 於 2026/10/21 發布安全更新。CVE-2026-110264，CVSS v3.1 10.0：正規表示式編譯器整數溢位，特定條件下可讓未登入攻擊者在 GitLab 伺服器執行任意程式碼。影響 CE／EE 自 7.0 起的受影響版本；各分支修補界線列於下方。

Ruby執行環境另有修補公告

GitLab安全版本已修補其內嵌Ruby。獨立Ruby應用的Onigmo修補條件與更新版本，請看Ruby專篇。

攻擊流程未驗證 RCE：從可達的 GitLab 到開發核心
  1. 01

    受影響渲染路徑可達

    未修補服務可公開渲染承載惡意.org內容的專案

  2. 02

    Org-mode內容進入編譯器

    渲染受控內容，觸發正規表示式整數溢位

  3. 03

    伺服器執行程式碼

    可能以受影響服務的執行權限活動

  4. 04

    原始碼與交付風險

    依權限可能接觸資料、憑證或建置設定

公開Org-mode渲染路徑可在未登入時觸發。後續影響取決於服務權限、憑證與網路連線，應一併檢查Runner及部署路徑。

CVE-2026-15723，CVSS v3.1 8.2：影響 CE／EE 自 10.1 至 19.3.6 前、19.4 至 19.4.3 前，以及 19.5 至 19.5.1 前的版本。必要前提是 攻擊者已有登入帳號，且同時啟用 OmniAuth SAML 與 LDAP 自動連結；不當 email 查詢可能造成GitLab內既有LDAP對應帳號遭接管。

攻擊流程身分連結漏洞：從既有帳號到他人權限
  1. 01

    具備必要設定與帳號

    SAML、LDAP自動連結皆啟用，攻擊者可登入

  2. 02

    觸及身分連結流程

    不當輸入影響LDAP email查詢

  3. 03

    接管GitLab帳號

    GitLab內既有LDAP對應帳號，目標不必互動

  4. 04

    濫用帳號既有權限

    可能存取專案、修改設定或操作交付流程

MFA不能替代身分連結漏洞修補；仍須升級並檢查帳號綁定及存取紀錄。

先確認修補版本，再安排維護窗口

GitLab部署依GitLab各分支安全版本更新，修補已包含在GitLab所附Ruby元件中；不應自行替換內嵌元件。先盤點內部系統、委外服務與容器部署。

同時處理上述兩項漏洞，升級至 19.3.6／19.4.3／19.5.1 或其後安全版本。 舊版本應依原廠升級路徑完成必要中繼版本與資料庫遷移。

行動建議：從外部邊界查到內部核心

應變流程四步應對：盤點、更新、驗證、追查
  1. 01

    盤點所有部署

    外網、內網、委外、容器、備援與跨境據點逐一核版

    看看能怎麼應對2項資源

    TWISA 會員方案

    盤點所有部署

    彙整主機、弱點與修補清冊，再由維運核對GitLab實際執行版本及SAML／LDAP設定。

  2. 02

    依原廠路徑更新

    先備份、安排停機或零停機程序，完成必要遷移

    查看處理指引1項資源

    應對方式與指引

    依原廠路徑更新

    先備份、安排停機或零停機程序，完成必要遷移

  3. 03

    主動驗證修補

    核對版本、功能、API授權與身分連結流程

    看看能怎麼應對2項資源

    TWISA 會員方案

    主動驗證修補

    以授權測試核對網站與API存取、角色權限及修補後行為；身分連結與Runner測項應依企業實際架構納入。

  4. 04

    保全並調查異常

    發現可疑活動，調查原始碼、帳號、CI憑證與交付物

    看看能怎麼應對2項資源

    TWISA 會員方案

    保全並調查異常

    保全主機、GitLab與CI紀錄，調查入侵根因、影響範圍，以及是否需要撤銷或輪替暴露的憑證。

若升級前已發現可疑活動，先保全證據並啟動應變，不要等更新完成才調查。

查看各分支修補界線與部署差異
  • CVE-2026-110264：7.0起、18.11.13前的版本受影響；較舊部署應沿原廠支援升級路徑移轉。
  • 19.0分支：19.0.10前受影響；19.1分支：19.1.9前受影響；19.2分支：19.2.9前受影響。
  • 19.3分支：19.3.6前受影響；19.4分支：19.4.3前受影響；19.5分支：19.5.1前受影響。
  • 18.11.13、19.0.10、19.1.9及19.2.9是110264的額外回補版本，不能據此判定已修復15723。
  • GitLab.com已修補。GitLab Dedicated的19.3.5-internal0及19.4.2-internal0或其後內部版本已含修補；一般自架19.3.5不可與之混用。
  • 19.3.6與19.4.3含一般資料庫遷移，19.4.3另有部署後遷移。原廠提醒單節點升級需安排停機，多節點依零停機升級程序規劃。
防禦架構開發平台防禦：守住服務、身分、Runner與部署權限

對外入口及內部部署都要更新；WAF不能替代GitLab原廠修補。

業務連線依授權放行，各層分別落實防護

  1. 01

    GitLab服務入口

    外部、VPN與內部可達路徑

    看看能怎麼應對3項資源

    TWISA 會員方案

    GitLab服務入口

    SkyCloud 資安防護包提供TWISA企業客戶優惠；網站入口可透過SkyWAF依IP、標頭與請求方法收斂來源，Imperva WAF亦可設定存取與請求政策。首次導入企業完成導入前後檢測報告並繳交後，可取得協會專屬折扣碼；活動至2026/12/31。所有GitLab節點仍依原廠升級。

    更新與收斂入口依業務限制可達來源，確認所有節點都執行安全版本

  2. 02

    SAML／LDAP連結

    企業登入與GitLab內LDAP對應帳號

    查看處理指引1項資源

    應對方式與指引

    SAML／LDAP連結

    確認自動連結設定、帳號對應與角色，測試非預期帳號接管

    修補並核對綁定確認自動連結設定、帳號對應與角色，測試非預期帳號接管

  3. 03

    Runner與CI工作

    建置主機、Job與可用憑證

    看看能怎麼應對1項資源

    TWISA 會員方案

    Runner與CI工作

    IBM Optim Test Data Management將正式資料轉成遮罩後的測試資料，減少Runner、測試資料庫與開發機保留真實個資。

    隔離Runner與測試資料分開正式機密與建置工作，測試資料先遮罩，限制Job可讀的帳密與網路目的地

  4. 04

    交付物與部署

    套件、映像、部署帳號與正式環境

    看看能怎麼應對2項資源

    TWISA 會員方案

    交付物與部署

    CyberArk集中保管並輪替受管特權帳密與SSH金鑰；ANCHOR透過申請、審核、代登入與側錄管理維運存取，降低開發平台受侵後部署帳號遭持續濫用的風險。

    控管部署特權集中保管部署與維運帳密，審核取用、保留操作紀錄；調查外洩後輪替並停用舊憑證

各層日誌與流量，送往監控與應變流程

  1. 原廠偵測線索比對Onigmo程序崩潰與Org mode渲染錯誤
    查看處理指引2項資源

    應對方式與指引

    原廠偵測線索

    比對Onigmo程序崩潰與Org mode渲染錯誤

  2. 主機程序與外連關聯GitLab衍生的可疑指令與連線
    看看能怎麼應對1項資源

    TWISA 會員方案

    主機程序與外連

    追查Linux主機的程序樹、指令與外連，找出GitLab衍生的可疑活動，協助隔離受影響主機。

  3. 帳號與CI紀錄核對登入、身分綁定、token與pipeline異動
    看看能怎麼應對3項資源

    TWISA 會員方案

    帳號與CI紀錄

    Keyper提供MFA、SSO與帳號生命週期管理，Keypasco Enterprise提供裝置綁定及雙通道MFA，用於已整合的管理入口。Keyper的TWISA採購方案含建置、教育訓練及10套系統整合；採購IAM版加贈同版20U，IGA版加贈同版10U，不跨版替換，效期至2026/12/31。

  4. 侵害調查與復原保存證物，確認憑證及交付影響後復原
    看看能怎麼應對2項資源

    TWISA 會員方案

    侵害調查與復原

    結合主機、帳號與建置紀錄調查影響範圍，規劃憑證輪替、交付檢查與復原。

業務連線依實際授權配置；Runner與正式環境風險須依網路、憑證及角色權限分別確認。

主動測試怎麼做：找出遺漏部署，驗證更新與權限
  • 資產探測與弱掃：交叉比對DNS、VPN、雲端、主機清冊與委外資料，找出未納管GitLab及可直連的後端。
  • 滲透與API測試：使用授權測試帳號核對角色、專案及API權限，將SAML／LDAP連結情境納入測試範圍。
  • 攻擊模擬：檢查Runner隔離、Job秘密存取及部署權限，驗證告警與應變程序。
  • 有使用WAF時：確認請求確實經過WAF，對照告警、阻擋與GitLab後端結果；更新及規則調整後重新複測。可能造成服務崩潰的漏洞測試，請在隔離測試環境進行。

需要協助？認識相關會員服務

歡迎洽詢各會員，取得更詳細的產品與服務介紹及說明。

查看與本篇風險直接相關的會員服務
原廠公告與監控指引

原廠提供兩項偵測線索：在puma_stderr.log找Onigmo程序崩潰與相關backtrace；在exceptions_json.log等紀錄找Org-mode渲染錯誤群聚。依主機與時間關聯Workhorse請求、程序與外連。沒有崩潰或告警，不能排除入侵。

TWISA 會員方案：緩解風險與保護核心資料

通報更新日期：2026/10/24。產品支援與修補狀態以原廠最新資料為準。