更新時間：2026/10/30 15:25:46
發佈時間：2026/10/30 15:25:46
TLP：
(White)
得對外公開散布，但不得違反著作權法等相關規定
更新說明：
一、漏洞說明[1]
GitLab Community Edition（CE）及Enterprise Edition（EE）存在6項重大及高風險漏洞，漏洞說明如下：
1. CVE-2026-97229：因CI/CD設定中的正規表示式驗證不足，可能使未經身分驗證的攻擊者透過特製正規表示式，在GitLab伺服器上執行任意程式碼。
2. CVE-2026-92883：因語法醒目提示功能未妥善處理HTML屬性，可能使已通過身分驗證的攻擊者透過特製儲存庫，在其他使用者的瀏覽器工作階段中執行任意JavaScript程式碼。
3. CVE-2026-16301：因下游CI/CD管線建立服務的權限檢查不當，可能使已通過身分驗證且具有Developer角色的使用者，未經授權於受保護分支執行CI/CD管線。
4. CVE-2026-14814：因儲存庫參照資訊驗證不當，可能使攻擊者污染儲存庫原始檔案的快取回應，導致目標使用者的CI/CD管線執行特製內容，並可能造成受保護的環境變數外洩。
5. CVE-2026-81839：因排程CI/CD管線執行政策紀錄未妥善清理，可能使已通過身分驗證的使用者，於專案移轉後利用新群組權限執行任意CI/CD管線。
6. CVE-2026-96893：因GitLab Duo Agent Platform建構AI對話內容時未妥善處理特殊元素，可能使已通過身分驗證的攻擊者將特製內容注入AI代理指令，進而造成非預期的命令執行，且執行行為可能被歸於其他使用者。
二、已揭露攻擊活動說明
1. CISA已將CVE-2026-97229納入漏洞利用清單。[2]
三、SSVC漏洞處置決策方法
1. CVE-2026-97229
利用狀況（Exploitation）：已遭實際利用（Active）
可否自動化利用（Automatable）：是（Yes）
技術影響（Technical Impact）：完全控制（Total）
2. CVE-2026-92883、CVE-2026-14814、CVE-2026-81839、CVE-2026-96893
利用狀況（Exploitation）：未發現利用（None）
可否自動化利用（Automatable）：否（No）
技術影響（Technical Impact）：完全控制（Total）
3. CVE-2026-16301
利用狀況（Exploitation）：未發現利用（None）
可否自動化利用（Automatable）：否（No）
技術影響（Technical Impact）：部分影響（Partial）
▶ 漏洞資訊
⌵
名稱：
CVE-2026-97229、CVE-2026-92883、CVE-2026-16301、CVE-2026-14814、CVE-2026-81839、CVE-2026-96893
描述：
使用版本：CVSS 3.1
分析分數：10.0、8.7、8.5、8.2、7.7、7.3
參考來源：GitLab
▶ 影響平台
⌵
影響平台-系統：
1. CVE-2026-97229（GitLab CE及EE）：
(1) 19.2系列：19.2.8（不含）以前版本受影響，建議更新至19.2.8或以上版本。
(2) 19.3系列：19.3.5（不含）以前版本受影響，建議更新至19.3.5或以上版本。
(3) 19.4系列：19.4.2（不含）以前版本受影響，建議更新至19.4.2或以上版本。
2. CVE-2026-92883（GitLab CE及EE）：
(1) 19.1至19.2系列：19.2.8（不含）以前版本受影響，建議更新至19.2.8或以上版本。
(2) 19.3系列：19.3.5（不含）以前版本受影響，建議更新至19.3.5或以上版本。
(3) 19.4系列：19.4.2（不含）以前版本受影響，建議更新至19.4.2或以上版本。
3. CVE-2026-16301（GitLab CE及EE）：
(1) 18.7至19.2系列：19.2.8（不含）以前版本受影響，建議更新至19.2.8或以上版本。
(2) 19.3系列：19.3.5（不含）以前版本受影響，建議更新至19.3.5或以上版本。
(3) 19.4系列：19.4.2（不含）以前版本受影響，建議更新至19.4.2或以上版本。
4. CVE-2026-14814（GitLab CE及EE）：
(1) 19.2及以前系列：19.2.8（不含）以前版本受影響，建議更新至19.2.8或以上版本。
(2) 19.3系列：19.3.5（不含）以前版本受影響，建議更新至19.3.5或以上版本。
(3) 19.4系列：19.4.2（不含）以前版本受影響，建議更新至19.4.2或以上版本。
5. CVE-2026-81839（GitLab EE）：
(1) 18.1至19.2系列：19.2.8（不含）以前版本受影響，建議更新至19.2.8或以上版本。
(2) 19.3系列：19.3.5（不含）以前版本受影響，建議更新至19.3.5或以上版本。
(3) 19.4系列：19.4.2（不含）以前版本受影響，建議更新至19.4.2或以上版本。
6. CVE-2026-96893（GitLab EE）：
(1) 19.1至19.2系列：19.2.8（不含）以前版本受影響，建議更新至19.2.8或以上版本。
(2) 19.3系列：19.3.5（不含）以前版本受影響，建議更新至19.3.5或以上版本。
(3) 19.4系列：19.4.2（不含）以前版本受影響，建議更新至19.4.2或以上版本。
▶ 建議措施
⌵
1. 官方已發布修補程式，建議會員依據單位內漏洞管理機制進行相關作業。
2. GitLab針對CVE-2026-97229發布6項威脅偵測項目，建議自行管理GitLab執行個體的單位參考官方提供的偵測資訊，檢視是否存在漏洞利用跡象。
▶ 參考資訊
⌵
| 編號 | 網址 | 說明 |
|---|---|---|
| 1 | https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-4-2-released/ | GitLab |
| 2 | https://www.cisa.gov/known-exploited-vulnerabilities-catalog | CISA |
情資編號：
FISAC-200-202610-0022
系統目錄：
資安漏洞
資安類別：
漏洞公告 /
影響等級：
3
關鍵字：
弱點漏洞