原文標題：GitLab Critical Patch Release: 19.4.2, 19.3.5, 19.2.8
GitLab 在 10 月 12 日發布 Community Edition（CE）與 Enterprise Edition（EE）的安全修補，正式可用版本為 19.4.2、19.3.5 及 19.2.8。GitLab 強烈建議自行管理（Self-Managed）部署的管理者立即升級至適用的修補版本。官方指出 GitLab.com 已經執行修補版本，GitLab Dedicated 客戶不需要另外採取升級動作。
需要特別更正的是，部分官方文章列表仍顯示「19.3.4」，但完整修補公告的標題與內文明確列出 19.3.5。GitLab 解釋，19.3.4 在啟用 Ona 整合時可能造成合併請求頁面異常，因此已在 19.3.5 修復。企業在評估升級版本時，應以完整安全公告的修正版號為準，避免照列表標題部署到仍有已知問題的版本。
本次最嚴重的漏洞是 CVE-2026-97229，CVSS 3.1 評分達 10.0。GitLab 說明，CI/CD 設定中的正規表示式驗證不足，在特定條件下可能讓未經驗證的攻擊者以精心構造的正規表示式在 GitLab 伺服器執行任意程式碼。受影響範圍為 19.2 分支低於 19.2.8、19.3 分支低於 19.3.5，以及 19.4 分支低於 19.4.2 的版本。此類風險直接涉及開發平台主機與 CI/CD 管線的安全邊界。
其他高風險修補包括 CVE-2026-92883（CVSS 8.7），涉及語法醒目提示處理不當造成的跨網站指令碼風險；CVE-2026-16301（8.5），可能讓具有 Developer 權限的使用者繞過授權，在受保護分支觸發下游管線；CVE-2026-14814（8.2），與儲存庫檔案存取時的正規表示式檢查及快取污染有關，可能影響 CI/CD 執行內容及受保護環境變數。這些漏洞各有不同的先決條件，不能混為同一種攻擊途徑。
Enterprise Edition 的高風險項目還包括 CVE-2026-81839（7.7），涉及專案移轉後排程管線執行政策記錄清理不完整；CVE-2026-96893（7.3），涉及 GitLab Duo Agent Platform 的 AI 對話上下文處理與提示詞注入，可能導致非預期命令執行。官方公告另外列出 GitLab Pages、GraphQL、套件登錄、合併請求權限、個人存取權杖與儲存庫匯入等中低風險修補，完整清單及各分支影響範圍應逐項對照。
GitLab 提醒，若安全問題未明確限定部署方式，應視為可能影響 Omnibus、原始碼或 Helm 等不同部署型態。管理者宜先盤點執行版本、部署型態、公開連線入口及可用升級窗口，備妥備份與回復計畫，再依官方升級路徑套用修補。此處的版本號是已確認的修補目標，不代表每一個舊版都受每一項 CVE 影響。
GitLab 表示，安全修補後通常會延後公開漏洞追蹤議題的完整內容，並建議所有受支援版本持續採用最新修補。對需要長期營運的企業 GitLab 而言，本次事件提醒 CI/CD 設定、身分權限、AI 代理整合與程式碼平台本身，都應納入定期漏洞管理。
發生了什麼事
GitLab 發布 19.4.2、19.3.5、19.2.8，修復包含 CVSS 10.0 遠端程式執行漏洞在內的多項安全問題；19.3.4 因合併請求頁面錯誤由 19.3.5 取代。
為什麼重要
GitLab 常同時承載程式碼、CI/CD、密鑰與部署權限，最高風險漏洞可能擴大到開發基礎設施。不同 CVE 的觸發條件與影響版本各異，升級前須依官方公告核對。
影響哪些人
自行架設 GitLab CE/EE 的企業管理者、DevOps、資安及平台工程團隊應優先檢查版本並安排升級；GitLab.com 已完成修補，Dedicated 客戶依官方說明不需另行處理。
已確認與未確認
已確認 10 月 12 日修補公告、三個正確版本號、最高 CVSS 10.0 及多項高風險 CVE。未由公告確認實際遭利用規模，也不能把所有漏洞視為不需登入即可觸發。
