原文標題：GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13
GitLab 10 月 21 日公布 CE 與 EE 緊急修補版，涵蓋 19.5.1、19.4.3、19.3.6、19.2.9、19.1.9、19.0.10 及 18.11.13。官方呼籲所有受影響的自架 GitLab 安裝儘速升級。GitLab.com 已使用修補版本；GitLab Dedicated 若已在 19.3.5-internal0、19.4.2-internal0 或更新的指定版本，官方表示已包含修補，不需另行處理。
最嚴重的 CVE-2026-110264 涉及正規表示式編譯器整數溢位，可能在特定情況下讓未登入使用者透過精心構造的正規表示式，在 GitLab 伺服器上執行任意程式碼。其 CVSS 3.1 分數為 10.0。受影響範圍包括 7.0 起的舊版，須依所在分支更新至上述對應修補版。GitLab 也提供 Onigmo 原生工作程序崩潰及 Org mode 呈現錯誤突增兩項偵測線索。
另外兩項高風險問題分別是 CVE-2026-15723（CVSS 8.2），當 OmniAuth SAML 與 LDAP 自動連結同時啟用時，已登入者可能接管既有 LDAP 帳號；以及 CVE-2026-112212（CVSS 7.5），未登入者在特定條件下可污染 OAuth／OIDC discovery 共用快取，將部分流程導向外部伺服器。這些問題的適用條件不同，不能把每個 GitLab 實例視為同樣暴露。
其餘修補包括 GraphQL 工作項目郵件欄位權限、SAML／LDAP 成員鎖定、內部憑證回應標頭、里程碑 API 授權、AI Gateway 功能資格檢查、合併請求機密議題標題快取、核准政策繞過、安全發現紀錄清除及 Amazon Q 設定鎖定。對應編號為 CVE-2026-12664、16255、105777、13319、112378、105711、14288、112326 與 103515。官方預計在修補後 90 天公開詳細議題資訊。
管理員應先確認版本、部署方式與啟用功能，再依所屬版本線更新並檢查服務健康狀態；只依賴邊界 WAF 或關閉某項整合，不能視為全面修補。GitLab 表示未特別限定部署型態的問題，代表 Omnibus、原始碼及 Helm 等方式都可能受影響。
發生了什麼事
GitLab 同時修補十二項漏洞，包含可造成未登入遠端程式碼執行的 CVSS 10.0 問題，並針對多條維護分支發布版本。
為什麼重要
GitLab 經常保存原始碼、CI/CD 金鑰與部署權限，若管理介面遭入侵，可能影響整條軟體供應鏈。
影響哪些人
自行架設 GitLab CE／EE 的系統管理員、DevOps 團隊與維護身份整合、OAuth／OIDC 的資安人員。
已確認與未確認
已確認修補版本、漏洞編號、部分觸發條件及 GitLab.com／Dedicated 的修補狀態；未見官方在本文證實已遭大規模實際利用。
