距三季报发布仅三周，Rapid7把GitLab满分漏洞变成产品实测
一段248个字符的正则表达式，就能在未打补丁的GitLab自管理服务器上执行命令。GitLab于10月12日发布补丁，一天后Rapid7复现了漏洞利用，并在当天向付费客户推送检测能力——这看起来是该公司10月2日新成立的Intelligence（情报）部门的首次公开实战。
Vincent Jiang · 4 min read
一段绕过校验的正则表达式
10月12日，GitLab−5.70% — GitLab, down 5.70 percent today发布带外补丁——即常规月度发布计划之外的安全版本——修补CVE-2026-97229。该漏洞为整数溢出，GitLab将其CVSS严重性评分定为满分10.0分12。漏洞位于CI/CD（持续集成/持续交付）配置中正则表达式的编译器内。CI/CD配置即构建和部署软件的流水线，自管理的社区版和企业版均受影响。它是当天修复的24个漏洞之一，由一名化名joaxcar的研究人员通过HackerOne漏洞赏金计划报告给GitLab23。
一天后，Rapid7−3.59% — Rapid7, down 3.59 percent today表示，已在开启地址空间随机化的条件下，在官方未打补丁的19.4.1社区版镜像上复现了完整漏洞利用链；同样的输入在已修补的19.4.2版本上则无法奏效1。入侵路径分两步：写在.gitlab-ci.yml流水线文件里的一段精心构造的正则表达式先绕过GitLab的校验，随后针对包含UTF-8字符的仓库路径重新编译；Ruby的Onigmo引擎在这一步发生整数溢出，进程控制权由此落入攻击者手中。
从补丁到可用漏洞利用，只隔24小时
此后，操作系统命令便以git用户身份运行——这是GitLab应用程序运行所用的服务账户1。一段公开的概念验证（PoC）代码用248个字符生成超过2GB的引擎代码，最终调用system()函数4。GitLab将这一漏洞评定为完全无需认证；不过，Rapid7的复现仍需先设法植入这份配置文件，而只要实例允许任何人注册并创建公开项目，这道门槛便不复存在1。
自管理服务器存有源代码与云凭证
这些服务器背后存放的东西，正是此类满分漏洞迅速引来攻击者的原因：用iCounter全球研究协调人罗曼·Y·桑尼科夫（Roman Y. Sannikov）的话说，是机构的源代码、软件构建流水线，以及这些流水线访问云账户所用的凭证5。财富100强企业中，超过半数是GitLab的客户3。
这是GitLab两个月内的第二个满分漏洞。9月的路径遍历漏洞CVE-2026-85706在GitLab发布补丁仅一天后，便被列入美国网络安全机构CISA维护的已知被利用漏洞目录，watchTowr的研究人员当时已在记录探测活动36。“各团队应当假设，从漏洞披露到被利用的窗口期以天计，而不是以周计。”桑尼科夫说5。截至10月13日，尚未确认这一新漏洞已遭利用1。
同日推送检测：新部门迎来首次产品实战
真正的商业看点在于时机。Rapid7 Intelligence于10月2日成立，使命是把漏洞研究直接转化为付费产品。10月13日的同一次内容更新中，该部门把针对此漏洞的需认证检测项推送进Exposure Command、Vulnerability Management和Nexpose三款产品17。对付费客户来说，这就是用可运行代码写成的成立宣言：漏洞公开后一天之内，研究成果就变成了产品。
这家在纳斯达克上市的母公司，恰恰需要这样一场演示。截至6月的季度，公司营收同比下降1.5%，连续第二个季度下滑；摩根大通9月将该股评级下调至“低配”，目标价12美元89。第三季度业绩将于11月4日出炉8。
Rapid7营收增速由13%滑落，连续两个季度负增长
Data
| 营收同比增速 | |
|---|---|
| 2023Q3 | 13.1% |
| 2023Q4 | 11.3% |
| 2024Q1 | 12% |
| 2024Q2 | 9.2% |
| 2024Q3 | 8% |
| 2024Q4 | 5.4% |
| 2025Q1 | 2.5% |
| 2025Q2 | 3% |
| 2025Q3 | 1.5% |
| 2025Q4 | 0.5% |
| 2026Q1 | -0.3% |
| 2026Q2 | -1.5% |
GitLab增长21%，Rapid7营收收缩
GitLab（纳斯达克代码：GTLB）增长与风险并存：截至7月的季度，公司营收同比增长21.3%，至2.863亿美元，净亏损3680万美元10。GitLab.com已完成修补，使用其托管式单租户产品Dedicated的客户也无需任何操作，因此直接损失落在客户的服务器上，而非记在厂商账上1。
GitLab营收连续十二个季度同比增速超20%
Data
| 营收（百万美元） | |
|---|---|
| 2023Q3 | $149.67M |
| 2023Q4 | $163.78M |
| 2024Q1 | $169.19M |
| 2024Q2 | $182.58M |
| 2024Q3 | $196.05M |
| 2024Q4 | $211.43M |
| 2025Q1 | $214.51M |
| 2025Q2 | $235.96M |
| 2025Q3 | $244.35M |
| 2025Q4 | $260.4M |
| 2026Q1 | $264.16M |
| 2026Q2 | $286.25M |
立即升级，再盯住两个日期
本次补丁的目标版本十分明确：19.2.8、19.3.5和19.4.2，应立即安装，而非等到下一个月度发布周期1。若升级不得不推迟，GitLab建议限制对公开项目的匿名访问，并禁止不受信任的用户创建公开项目1。对漏洞披露以来始终未打补丁的实例，桑尼科夫建议轮换CI/CD密钥与令牌，并审查披露以来的Runner和流水线活动5。
此事如何收场，要看两个标志。一是CVE-2026-97229是否会步9月姊妹漏洞的后尘，进入CISA的已知被利用漏洞目录36。二是11月4日：届时Rapid7公布第三季度业绩，必须回答Intelligence部门的成果是否已反映在付费产品的采用之中8。在那之前，风险都落在仍在运行被遗忘的自管理实例的人身上。
Deepdive
AI-generated from this story and its cited sources. Not investment advice.
