Ruby 修正與 GitLab 遠端執行風險相關的正則編譯缺陷

CVE-2026-89078 · CVE-2026-93577 · CVE-2026-97229 · CVE-2026-110264

主要來源公告：2026-10-23

本站刊登：2026-10-24 · 內容更新：2026-10-24（香港日期）

情報摘要

Ruby 4.0.9、3.4.12 及 3.3.13 已包含四項 GitLab CVE 對應的 Onigmo 修正。風險涉及以攻擊者可控字串編譯正則的應用；只使用開發者自寫正則的應用不受影響。

Ruby 4.0／3.4／3.3 的相關正則編譯用途；自管 GitLab CE／EE

使用 Ruby 或自管 GitLab 的香港開發及維運團隊

Ruby 升級至 4.0.9、3.4.12、3.3.13 或更新；未能升級時避免編譯不可信輸入。自管 GitLab 按所用分支升級至 19.5.1、19.4.3、19.3.6、19.2.9、19.1.9、19.0.10 或 18.11.13。

Critical 依據 GitLab 對 CVE-2026-110264 的 CVSS v3.1 10.0；並非所有 Ruby 應用的通用評分。

Regexp.timeout 及單純限制 pattern 長度不能可靠防禦。

GitLab.com 已修補；Ruby 暫未為這批修正另設 CVE。

未確認香港受害個案或野外利用情況。