GitLab 兩個 CVSS 10.0 漏洞遭積極利用，台灣仍有 46 台暴露：請立即更新
原始來源： iThome · 2026/11/02
Shadowserver 於 11/2 示警，全球每日約 3.9 萬台可從網際網路觀測的 GitLab 執行個體中，逾 1.1 萬台仍受 CVE-2026-110264 影響，逾 1,000 台仍受 CVE-2026-97229 威脅；台灣有 46 台未修補暴露。兩漏洞皆為正規表示式整數溢位，可讓未經驗證攻擊者遠端執行程式碼。CVE-2026-97229 已遭實際利用，CISA 於 10/29 列入 KEV；Alpine Linux 的 GitLab 亦曾遭攻擊並重建基礎設施。建議自建 GitLab 立即更新到修補版本並輪換 CI/CD 機密。
重點先看
GitLab CVE-2026-97229／CVE-2026-110264 皆 CVSS 10.0，可未驗證遠端執行程式碼；前者已列 CISA KEV，台灣仍有 46 台暴露。請立即更新並輪換 CI/CD 機密。
發生了什麼
GitLab 於 10 月中下旬陸續修補兩個 CVSS 滿分（10.0）漏洞。CVE-2026-97229 出在 CI/CD 正規表示式編譯器：未經驗證的攻擊者可透過特製正規表示式，在特定條件下於 GitLab 伺服器遠端執行任意程式碼；官方於 10/12 釋出 Community Edition（CE）與 Enterprise Edition（EE）修補版本 19.4.2、19.3.5、19.2.8，並表示 GitLab.com 已套用修補、GitLab Dedicated 客戶無需自行處理。 另一漏洞 CVE-2026-110264 同樣屬於正規表示式整數溢位問題，亦可導致未驗證遠端程式碼執行；GitLab 於 10/21 前後完成修補。資安監測組織 Shadowserver 於 11/2 示警：全球每日約 3.9 萬台 GitLab 可從網際網路觀測，其中逾 1.1 萬台仍受 CVE-2026-110264 影響，逾 1,000 台仍暴露於 CVE-2026-97229；美國、中國、德國數量最高，台灣亦有 46 台。 美國網路安全與基礎設施安全局（CISA）已於 10/29 將 CVE-2026-97229 列入已知遭利用漏洞清單（KEV）。BleepingComputer 亦指出，自 2021 年 11 月以來，CISA 已把六個 GitLab 漏洞列入該清單，其中一個曾被用於勒索軟體攻擊。
Alpine Linux 為何重建基礎設施
Alpine Linux 專案於 10/28 揭露其自建 GitLab 曾遭攻擊。依 iThome 整理，攻擊者於 10/20 至 10/21 以新註冊帳號提交針對 CVE-2026-97229 的惡意 CI 設定；當時執行個體仍為未修補的 19.3.4，尚未升級到 10/12 已釋出的 19.3.5，造成 GitLab 工作程序多次當機，部分攻擊曾進展至部分利用階段，攻擊者亦曾下載該專案的 GitLab 容器映像。 專案雖於 10/22 升級，但因自建容器未套用必要的 Ruby 修補，漏洞未能完全排除。團隊表示未發現攻擊者成功執行程式碼，或竄改儲存庫、套件與發行版本的證據；但因部分日誌遺失，無法徹底排除遭入侵可能，遂於 10/27 關閉服務、從頭重建伺服器、重設所有帳號密碼並更換機密金鑰，10/29 重新開放。這說明：即使「尚未證實全面失陷」，日誌缺口與供應鏈角色仍足以構成重建門檻。
建議立即處置
請自建 GitLab（CE／EE）的單位依序處理： 1. 立即更新到官方修補版本（至少 19.4.2、19.3.5 或 19.2.8 以上對應分支），確認實際執行的版本與容器基底皆已含修補；GitLab.com 與 Dedicated 客戶依官方說明通常無需自行升級。 2. 盤點可從網際網路存取的 GitLab：關閉不必要的公開暴露，僅允許 VPN 或零信任存取管理介面與 Runner 註冊端點。 3. 檢查異常帳號、專案、Runner 與 CI／CD 管線；清查近期新註冊使用者、可疑正規表示式或異常 Job。 4. 輪換可能外洩的 CI／CD 變數、部署金鑰、權杖與套件登錄憑證；若曾出現當機或可疑 Job，提高為全面機密輪換。 5. 將 GitLab、Runner 與管線設定納入定期漏洞掃描與設定基線，並由資安團隊持續監看對外暴露與異常執行。
為什麼重要
GitLab 同時承載原始碼、CI／CD 機密與部署流程。未驗證 RCE 一旦成功，攻擊者可竊取權杖、竄改建置產物，並沿供應鏈擴散到正式環境。台灣仍有 46 台暴露，顯示修補節奏與對外暴露控管仍有落差；Alpine Linux 的經驗也提醒：只升版本號、容器基底未同步修補，等於漏洞仍在。 建議以 Checkmarx 強化原始碼與管線中的缺陷與機密掃描，並以 DevaEye 軟體安全檢測協助盤點自建 GitLab、Runner 與供應鏈暴露面，縮短「修補已出、實務未跟上」的空窗。
Cloudforce 可以協助哪些？
面對自建 GitLab 的未修補暴露與 CI／CD 供應鏈風險，可依下列方案對應處置： 1. Checkmarx：以原始碼靜態分析、第三方套件組成分析、API 與基礎設施即程式碼掃描，協助在開發與管線階段找出缺陷、已知漏洞與風險設定，降低有漏洞的程式與設定進入正式建置的機會。 2. DevaEye 軟體安全檢測：盤點開源相依、商業 SDK 與供應鏈來源風險，並由顧問交付比對報告與修補／替代建議，適合用來檢視與 GitLab、Runner 相關的組件暴露面。 3. Vibe coding 開發治理：協助建立開發工具與 CI／CD 來源控管、版本鎖定與核准流程，縮短「修補已釋出、實務未跟上」的空窗。 4. DevaEye MDR 託管防護：在端點與主機層持續監看異常帳號、可疑行程與橫向活動；若自建 GitLab 或建置節點出現異常 Job、異常外連，可由 7×24 團隊研判與應處。
常見問題
CVE-2026-97229 與 CVE-2026-110264 有何差異？
兩者皆為正規表示式相關的 CVSS 10.0 問題，可在特定條件下讓未經驗證攻擊者遠端執行程式碼。CVE-2026-97229 於 10/12 修補、已遭利用並列入 CISA KEV；CVE-2026-110264 於 10 月下旬修補，Shadowserver 觀測未修補暴露數量更高。
要更新到哪個版本？
官方於修補 CVE-2026-97229 時建議立即升級到 19.4.2、19.3.5 或 19.2.8（依所在分支）。請同時確認自建容器與相依元件已含必要修補，避免只升應用版本、基底仍脆弱。
台灣有多少台受影響？
依 Shadowserver 資料與 iThome 11/2 報導，台灣有 46 台未修補、可從網際網路觀測的 GitLab 執行個體暴露於這兩個滿分漏洞的風險下。
Alpine Linux 有沒有證實套件被竄改？
專案團隊表示未發現攻擊者成功執行程式碼，或修改儲存庫、套件與軟體發布版本的證據；但因部分日誌遺失，仍選擇重建伺服器並重設帳密與金鑰。
Checkmarx 與軟體安全檢測能如何協助？
GitLab 與 CI／CD 管線常是原始碼缺陷與機密外洩的匯集點。Checkmarx 可協助在開發與管線階段找出漏洞與風險設定；DevaEye 軟體安全檢測可盤點自建平台暴露面與供應鏈控制，降低未修補與設定缺口被利用的機會。