10 月 21 日，GitLab 发布了一次关键补丁，修复编号 CVE-2026-110264 的漏洞，CVSS 评分 10.0，也就是满分。它允许攻击者在不登录的情况下，对自建 GitLab 服务器执行任意代码。更扎心的是影响范围：从 2014 年的 GitLab 7.0 起，所有自建版本都在影响范围内。
一个文件怎么变成远程执行代码
按 GitLab 安全团队的分析，问题出在 .org 文件的渲染环节：渲染用的 org-ruby 组件把自定义关键词未经转义地拼进正则表达式，超大重复次数导致整数溢出，最终可能变成以 git 用户身份执行系统命令。攻击条件据称只需要一个能放 .org 文件的公开项目——文件在仓库里是数据，但服务器一渲染，它就可能变成代码。
同一周的“补丁雨”还不止 GitLab 一家：Railway 报告攻击者接触了客户加密环境变量并建议全部轮换密钥，LiteLLM 的 1.107.0 版本也出现问题，PHP、Node.js、Chrome 也都在同一周发了关键更新。10 月 21 日那周，运维圈基本是在打补丁中度过的。
修复清单：先对号入座，再谈别的
GitLab 一次发了 7 个修复版本：19.5.1、19.4.3、19.3.6、19.2.9、19.1.9、19.0.10、18.11.13，没有临时绕过办法。特别提醒：10 月 12 日那次补丁只覆盖了 19.2 及之后版本，所以 10 月 12 日刚打过补丁的实例，这次可能仍在影响范围内，别以为“上周刚更新过”就安全。GitLab.com 和 GitLab Dedicated 用户不用动手，平台方已经修复。
写在最后
这件事给所有自建服务的团队提了个醒：补丁不是“有空再打”的待办项，而是和备份同等重要的生命线。AI 正在压缩“漏洞公开到被利用”的时间——有分析把这周称为“AI 加速攻击跑赢补丁”的一周。以后，补丁窗口按天算的团队，会比按月算的团队活得久得多。
