美國網絡安全暨基礎設施安全局（CISA）於二零二六年十月二十九日將 GitLab Community／Enterprise Edition 最高危漏洞 CVE-2026-97229（CVSS 10.0）列入已知利用漏洞目錄；未認證攻擊者可透過惡意 CI／CD 正則表達式在伺服器執行任意程式碼。GitLab 已於十月十二日發布 19.4.2、19.3.5、19.2.8 修補；Alpine Linux 官方亦披露其實例於十月二十至二十一日遭嘗試利用並已整機重建。本文核對自 CISA 公告、GitLab 官方修補說明與 Alpine Linux 事件頁，來源真實性已驗證。

GitLab／CISA：CVE-2026-97229（CVSS 10.0）已列入已知利用目錄——請即升級 19.4.2／19.3.5／19.2.8；Alpine 實例曾遭攻擊並重建

自管 GitLab 與 CI／CD 管線的企業，正面對一宗已確認野外利用的滿分級漏洞。CISA 於二零二六年十月二十九日公布，將 CVE-2026-97229 加入 Known Exploited Vulnerabilities（KEV）目錄，並要求聯邦民用行政部門按 BOD 26-04 優先修補；限期為二零二六年十一月一日。GitLab 官方修補說明指問題屬 CI／CD Regular Expression Compiler 整數溢位，CVSS 3.1 評分為 10.0，受影響版本為 19.2（19.2.8 之前）、19.3（19.3.5 之前）與 19.4（19.4.2 之前）。Alpine Linux 同日更新事件頁，指其實例於修補發布約一週後遭攻擊者探測，並已按「可能已遭入侵」標準整機重建。來源真實性已驗證。

一、核心事件與官方時間線

CISA：已知利用與修補期限

CISA 新聞稿列明，基於積極利用證據，同日將兩項漏洞加入 KEV：CVE-2026-97229（GitLab CE／EE 整數溢位或回繞）以及 CVE-2026-76418（Cisco ASA／FTD，本報早前已另文報道）。KEV 目錄對 CVE-2026-97229 的說明與 GitLab 一致：未認證用戶可經特別構造的 CI／CD 組態正則表達式，在 GitLab 伺服器執行任意程式碼；要求依供應商指引緩解，並遵守 BOD 26-04 風險導向修補與取證分流（forensic triage）要求；到期日為二零二六年十一月一日。CISA 強調 BOD 26-04 僅約束聯邦機構，但鼓勵所有組織優先處理 KEV 項目。

GitLab：修補版本與偵測

GitLab 於二零二六年十月十二日發布關鍵修補 19.4.2、19.3.5、19.2.8（CE／EE），並強烈建議所有自管安裝立即升級。官方寫明 GitLab.com 已運行修補版本；GitLab Dedicated 租戶亦在對外修補發布前以內部版本完成修補。CVE-2026-97229 由研究員 joaxcar 經 HackerOne 回報。GitLab 並發布六項威脅偵測規則，供自管客戶偵測利用嘗試；受管基礎設施（GitLab.com、Dedicated）維持已修補狀態。

Alpine Linux：接近成功的實戰嘗試

Alpine Linux 於十月二十八日（十月三十日更新）公開其 gitlab.alpinelinux.org 事件：十月二十至二十一日，新註冊帳戶向仍運行 19.3.4（未含十月十二日修補）的實例送出惡意 CI 組態，worker 崩潰八次，其中四次攻擊推進至中途再失敗；攻擊者並下載其 GitLab 容器映像以對準版本調參。官方表示未找到攻擊者成功執行程式碼的證據，但亦無法排除，遂於十月二十七日關閉對外存取並由零開始重建；十月二十八日完成重建並重設密碼與金鑰；十月二十九日重開並升級至 19.3.7。官方核實 aports、套件與十月二十一日發行版未被竄改，簽署金鑰亦不存放於該 GitLab 主機。另指出：若以自備 Ruby（原始碼或自製映像）而非 GitLab 官方套件運行，僅升級 GitLab 版本不足，還需 Ruby 3.3.13、3.4.12、4.0.9 或更新版本——因為修補實際落在所捆綁的 Onigmo／Ruby 正則引擎。

二、技術原理與架構含義

CVE-2026-97229 的表面入口是 CI／CD 組態中的正則表達式；根因是 Ruby 內建 Onigmo 引擎在編譯模式時的整數溢位（CWE-190）。Ruby 官方於十月二十三日發布 4.0.9、3.4.12、3.3.13，說明 GitLab 發現特製模式可在 Regexp.new 編譯階段破壞記憶體並轉成遠端程式碼執行；GitLab 為此系列問題另列 CVE-2026-89078、CVE-2026-93577、CVE-2026-110264 等相關項。重點是：攻擊面落在「把不可信字串編譯成正則」的服務路徑——對自管 GitLab 而言，只要允許（或未充分限制）未認證或低權限帳戶提交含惡意正則的 CI 組態，即可觸及編譯器漏洞，而無須先取得管理員帳號。

Alpine 案例另揭示部署陷阱：官方 Omnibus／容器映像會為捆綁 Ruby 打補丁，但自建映像若沿用發行版 Ruby，即使 GitLab 小版本號已升高，底層引擎仍可能脆弱。這把「版本號合規」與「實際修補面」拆開——資安營運必須同時核對 GitLab 修補說明與 Ruby／基礎映像變更紀錄。

三、日常應用場景

1. 開發者與技術團隊

自管 GitLab、GitLab Runner 與私有 CI 的團隊應立刻盤點版本是否低於 19.2.8／19.3.5／19.4.2，並排程停機升級；同時啟用 GitLab 提供的威脅偵測、檢視 CI lint／worker 異常崩潰與可疑新註冊帳戶。使用自製容器者，應確認映像已含修補後 Ruby，並避免對不可信輸入呼叫 Regexp.new。CI 變數、Runner token、個人存取權杖與 webhook 密鑰應視為可能暴露資產，在無法排除入侵時輪替。

2. 企業與隱私敏感行業

金融、醫療、政府外包與持有客戶源碼的企業，自管 DevOps 平台等同關鍵基建。應把 KEV 項目納入變更窗口的強制項：對外暴露的 GitLab 優先隔離或置於 VPN／零信任之後，完成修補前限制新帳戶註冊與 CI lint API。若日誌顯示類似 Alpine 的 worker 崩潰或特製 CI 探測，應啟動取證分流（CISA 對此 CVE 標示 forensic triage＝Yes），假設憑證與密鑰可能已外洩並重發。

3. 一般用戶

使用 GitLab.com 或 GitLab Dedicated 的個人與團隊，官方指平台側已修補，但仍應留意自管 Runner、鏡像倉庫與重複使用的密碼。若曾於自管實例複用密碼，應立即在其他服務更改。勿輕信來歷不明的「緊急安全掃描」合併請求或外部 CI 範本。

4. 香港與亞洲市場視角

香港不少中小企與外包團隊以自管 GitLab 或內網容器運行 CI／CD；對美東時區公告反應若慢半拍，暴露面可連續多日。建議把 CISA KEV 與供應商緊急修補納入值班訂閱，並在雲端遷移／網絡安全專案中一併檢視原始碼託管、Runner 與密鑰保管是否符合零信任與最小權限。本地法務與客戶合約若要求「及時修補已知高危漏洞」，KEV 條目可作為客觀時限依據。

四、專業評價與潛在考量

優勢

GitLab 以明確版本矩陣、CVSS 10.0 標示與六項偵測規則降低自管客戶的驗證成本；CISA 以 KEV＋BOD 期限把「已利用」訊號推到營運層；Alpine 公開時間線、重建決策與「自備 Ruby 仍脆弱」教訓，對同樣自建映像的團隊極具參考價值。GitLab.com／Dedicated 已先行修補，縮小了 SaaS 客戶的即時風險。

需要留意的地方

Shadowserver 等第三方統計指互聯網上仍有近二千八百個暴露的 GitLab CE 實例（數字來自傳媒引述、非 GitLab／CISA 官方普查），實際未修補比例不明。成功利用可能不留崩潰痕跡（Alpine 明言部分日誌缺失），僅靠「沒看到異常」不足以結案。同一 Onigmo 問題可影響其他把不可信字串交給 Ruby 正則編譯的產品，需按 Ruby 公告一併評估。Cisco ASA／FTD 同日入冊的 CVE-2026-76418 屬另一攻擊面，企業防火牆團隊不應因專注 GitLab 而忽略。

結語

當 CI／CD 組態中的一條惡意正則就能換取未認證遠端程式碼執行，原始碼平台已成為與防火牆同級的外網關鍵資產。CISA 將 CVE-2026-97229 列入已知利用目錄、GitLab 釋出 19.4.2／19.3.5／19.2.8，以及 Alpine 近乎得手後的整機重建，共同提醒：修補必須覆蓋捆綁運行時，入侵假設要寫進應變劇本。若企業需要在香港規劃雲端遷移、零信任存取、自管 DevOps 硬化或資安應變演練，可參考 YSK Limited 的香港雲端遷移與網絡安全服務（https://ysk.hk/services/cloud-security）。

參考來源

• CISA：Adds Two Known Exploited Vulnerabilities to Catalog（2026-10-29）：https://www.cisa.gov/news-events/alerts/2026/10/29/cisa-adds-two-known-exploited-vulnerabilities-catalog
• CISA KEV 目錄（CVE-2026-97229）：https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• GitLab Critical Patch Release: 19.4.2, 19.3.5, 19.2.8：https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-4-2-released/
• Alpine Linux：GitLab security incident: attempted exploitation of CVE-2026-97229：https://alpinelinux.org/posts/GitLab-security-incident-CVE-2026-97229.html
• Ruby：Regexp compilation fixes related to GitLab CVEs（2026-10-23）：https://www.ruby-lang.org/en/news/2026/10/23/regexp-fixes-for-gitlab-cves
• BleepingComputer：CISA says max severity GitLab flaw now exploited in the wild：https://www.bleepingcomputer.com/news/security/hackers-now-exploiting-max-severity-gitlab-flaw-in-attacks/