CVE-2026-110264：GitLab 未认证远程代码执行，CVSS 10.0

小白哥
小白哥

小白安全成长记

2026年10月22日 16:47
河北

去阅读

CVE-2026-110264：GitLab 未认证远程代码执行，CVSS 10.0

完了，刚php2shell,又来gitlab,最炸的是还RCE，好消息，貌似没发现在野利用，目前自建 GitLab 只要版本低于修复版，无需登录、无需任何凭据，就可能被打穿；缺陷在 GitLab 自己打包维护的 Ruby 正则引擎 Onigmo 里，编译一条特制正则时整数溢出。下面是一些漏洞的介绍：

漏洞信息

影响范围：从 7.0 到现在的每一个版本

受影响的是 7.0 起至修复版之前的全部 CE/EE 自建实例，横跨约十二年。修复版本共七个分支：

• 18.11.13、19.0.10、19.1.9、19.2.9、19.3.6、19.4.3、19.5.1

GitLab.com 已在运行修补版，Dedicated 客户在 19.3.5-internal0 / 19.4.2-internal0 以上无需动作。自建的一批要自己动手，而且 7.0 到 18.11 之间的老版本只能跳到 18.11.13，没有中间站。

真正麻烦的三点

一、没有临时缓解。 官方没有给 workaround，也没公开具体触发前置条件。这意味着“我配置特殊所以不受影响”这种自查是不成立的，只能逐套比对实际版本号。国内报道里“见光即死、除拔网线别无他法”的说法就是从这里来的。

二、九天前打的补丁不算数。 10 月 12 日 GitLab 修过同源的一颗 CVE-2026-97229，同样满分、同样未认证、同样在正则编译器里，但只覆盖 19.2.8、19.3.5、19.4.2。这次的修复版本恰好都比那次高一个补丁号。按上次公告打完补丁的组织，今天仍在射程内，而从版本号上看不出自己是“打过的那一批”。

三、同一个人一个月报了四个漏洞。 joaxcar 在 9 月 23 日报了 CVE-2026-93577 和 CVE-2026-89078（需要登录，均 9.9），10 月 12 日报了 97229，这次是第四颗。四颗都指向同一个部件。这不是偶发，说明 Onigmo 与 GitLab 校验层之间的缝隙是系统性的。

漏洞原理

CVE 记录本身只写“编译特制正则时整数溢出”。更具体的机理目前来自同源的 97229 分析：Onigmo 在 regcomp.c 的 compile_length_quantifier_node 里用有符号 32 位整数算“量词目标长度 × 重复次数”，乘积越过 INT_MAX 回绕后反而满足了“是否就地展开”的上限判断，编译器按偏小的值分配缓冲区却写入完整指令流，形成堆越界写；字符类 bitmap 的字节被当成 VM 指令执行，最终以 git 用户执行命令。

这部分不能直接当作 110264 的已确认细节：本次的前置条件官方没公开，补丁里也没有公开的技术说明（issue 按惯例 90 天后才开）。能确认的只有补丁内容——修的是 Ruby 3.3/3.4/4.0 的 \"regexp repeat ID overflow\"，以及老版本的 \"regexp repeat-range double-free\"。

现在该做什么

1. 拿版本字符串逐个比对上面七个修复版，10 月 12 日打过 19.2.8 / 19.3.5 / 19.4.2 的要重新比一次。
2. 清点覆盖要包括实验室、测试区、并购带过来的旧实例——这次的覆盖半径是十二年，这类机器通常不在外部扫描视野里。
3. 资产表里记“发行包是谁构建的”。Onigmo 是 GitLab 自己打进包并自行修补的，所以发行包来源本身是风险项，不只是版本号。
4. 升级前先接上官方那两条检测规则（Onigmo 原生 worker 崩溃、Org 模式渲染错误突增，Sigma 格式，放在 GitLab 的 TLDR 框架里），至少能回答“有没有被试探过”。注意规则名字暗示触发面可能涉及 Org 文档渲染，但官方未确认。
5. 单节点升级含数据库迁移会停机；多节点走零停机流程可避免。

现状

没有公开 PoC，没有在野利用证据，不在已知被利用漏洞目录里。但满分、未认证、十二年全覆盖、无缓解——按紧急漏洞处理，别等常规补丁窗口。

后续有新的发现，我会及时发布消息，感谢大家关注!