--- title: "距三季报发布仅三周，Rapid7把GitLab满分漏洞变成产品实测" description: "一段248个字符的正则表达式，就能在未打补丁的GitLab自管理服务器上执行命令。GitLab于10月12日发布补丁，一天后Rapid7复现了漏洞利用，并在当天向付费客户推送检测能力——这看起来是该公司10月2日新成立的Intelligence（情报）部门的首次公开实战。" publisher: "The Inference" section: "Safety" published: 2026-10-16T01:38:40.867Z modified: 2026-10-16T01:38:40.867Z canonical: https://theinference.org/article/rapid7-turns-gitlab-s-10-0-flaw-into-a-live-product-demo-three-weeks-before-earnings/zh-CN language: zh-CN keywords: "Cybersecurity, Vulnerabilities, GitLab, Rapid7, Earnings" --- # 距三季报发布仅三周，Rapid7把GitLab满分漏洞变成产品实测 > 一段248个字符的正则表达式，就能在未打补丁的GitLab自管理服务器上执行命令。GitLab于10月12日发布补丁，一天后Rapid7复现了漏洞利用，并在当天向付费客户推送检测能力——这看起来是该公司10月2日新成立的Intelligence（情报）部门的首次公开实战。 ## 一段绕过校验的正则表达式 10月12日，[GitLab](https://theinference.org/markets/companies/gitlab)[发布带外补丁](https://www.bleepingcomputer.com/news/security/gitlab-warns-of-max-severity-rce-flaw-in-regex-compiler-engine/)——即常规月度发布计划之外的安全版本——修补CVE-2026-97229。该漏洞为整数溢出，GitLab将其CVSS严重性评分定为满分10.0分[1][2]。漏洞位于CI/CD（持续集成/持续交付）配置中正则表达式的编译器内。CI/CD配置即构建和部署软件的流水线，自管理的社区版和企业版均受影响。它是当天修复的24个漏洞之一，由一名化名joaxcar的研究人员通过HackerOne漏洞赏金计划报告给GitLab[2][3]。 一天后，[Rapid7](https://theinference.org/markets/companies/rapid7)表示，已在开启地址空间随机化的条件下，[在官方未打补丁的19.4.1社区版镜像上复现了完整漏洞利用链](https://www.rapid7.com/blog/post/etr-cve-2026-97229-critical-unauthenticated-remote-code-execution-in-gitlab/)；同样的输入在已修补的19.4.2版本上则无法奏效[1]。入侵路径分两步：写在.gitlab-ci.yml流水线文件里的一段精心构造的正则表达式先绕过GitLab的校验，随后针对包含UTF-8字符的仓库路径重新编译；Ruby的Onigmo引擎在这一步发生整数溢出，进程控制权由此落入攻击者手中。 ## 从补丁到可用漏洞利用，只隔24小时 此后，操作系统命令便以git用户身份运行——这是GitLab应用程序运行所用的服务账户[1]。一段[公开的概念验证（PoC）代码](https://x.com/_CryptoCat/status/2110052018593362428)用248个字符生成超过2GB的引擎代码，最终调用system()函数[4]。GitLab将这一漏洞评定为完全无需认证；不过，Rapid7的复现仍需先设法植入这份配置文件，而只要实例允许任何人注册并创建公开项目，这道门槛便不复存在[1]。 ## 自管理服务器存有源代码与云凭证 这些服务器背后存放的东西，正是此类满分漏洞迅速引来攻击者的原因：用iCounter全球研究协调人罗曼·Y·桑尼科夫（Roman Y. Sannikov）的话说，是机构的源代码、软件构建流水线，以及[这些流水线访问云账户所用的凭证](https://theinference.org/article/two-dozen-firms-breached-through-gitlab-stored-secrets-and-gitlab-shipped-the-cure-a-day-later)[5]。财富100强企业中，超过半数是GitLab的客户[3]。 这是GitLab两个月内的第二个满分漏洞。9月的路径遍历漏洞CVE-2026-85706在GitLab发布补丁仅一天后，便被列入美国网络安全机构CISA维护的已知被利用漏洞目录，watchTowr的研究人员当时已在记录探测活动[3][6]。“各团队应当假设，从漏洞披露到被利用的窗口期以天计，而不是以周计。”桑尼科夫说[5]。截至10月13日，尚未确认这一新漏洞已遭利用[1]。 ## 同日推送检测：新部门迎来首次产品实战 真正的商业看点在于时机。Rapid7 Intelligence[于10月2日成立](https://finance.yahoo.com/technology/ai/articles/rapid7-launches-rapid7-intelligence-harness-130000040.html)，使命是把漏洞研究直接转化为付费产品。10月13日的同一次内容更新中，该部门把针对此漏洞的需认证检测项推送进Exposure Command、Vulnerability Management和Nexpose三款产品[1][7]。对付费客户来说，这就是用可运行代码写成的成立宣言：漏洞公开后一天之内，研究成果就变成了产品。 这家在纳斯达克上市的母公司，恰恰需要这样一场演示。[截至6月的季度，公司营收同比下降1.5%](https://www.sec.gov/cgi-bin/browse-edgar?action=getcompany&CIK=0001560327)，连续第二个季度下滑；摩根大通9月将该股评级下调至“低配”，目标价12美元[8][9]。[第三季度业绩将于11月4日出炉](https://www.marketscreener.com/news/rapid7-to-report-third-quarter-2026-financial-results-on-november-4-ce785dd2d181f526)[8]。 *Chart: **Rapid7营收增速由13%滑落，连续两个季度负增长** Rapid7十二个季度营收同比增速的折线图：增速从2023年第三季度的13.1%降至2026年第二季度的-1.5%，并在2026年跌破零。* *按自然季度计的营收同比增速，数据来自Rapid7向美国证券交易委员会（SEC）提交的文件。2026年第二季度于2026年6月结束。 [9]* ## GitLab增长21%，Rapid7营收收缩 GitLab（纳斯达克代码：GTLB）增长与风险并存：[截至7月的季度，公司营收同比增长21.3%，至2.863亿美元](https://www.sec.gov/cgi-bin/browse-edgar?action=getcompany&CIK=0001653482)，净亏损3680万美元[10]。GitLab.com已完成修补，使用其托管式单租户产品Dedicated的客户也无需任何操作，因此直接损失落在客户的服务器上，而非记在厂商账上[1]。 *Chart: **GitLab营收连续十二个季度同比增速超20%** GitLab季度营收柱状图：营收从2023年10月结束季度的1.5亿美元增至2026年7月结束季度的2.86亿美元，期间各季度同比增速均高于20%。* *按自然季度标注的季度营收，单位为百万美元。GitLab的财季比Rapid7晚一个月结束：其2026年第二季度于2026年7月31日截止，正文所引的2.863亿美元营收、21.3%的同比增长即指该季度。数据来自GitLab向SEC提交的文件。 [11]* ## 立即升级，再盯住两个日期 本次补丁的目标版本十分明确：19.2.8、19.3.5和19.4.2，应立即安装，而非等到下一个月度发布周期[1]。若升级不得不推迟，GitLab建议限制对公开项目的匿名访问，并禁止不受信任的用户创建公开项目[1]。对漏洞披露以来始终未打补丁的实例，桑尼科夫建议轮换CI/CD密钥与令牌，并审查披露以来的Runner和流水线活动[5]。 此事如何收场，要看两个标志。一是CVE-2026-97229是否会步9月姊妹漏洞的后尘，进入CISA的已知被利用漏洞目录[3][6]。二是11月4日：届时Rapid7公布第三季度业绩，必须回答Intelligence部门的成果是否已反映在付费产品的采用之中[8]。在那之前，风险都落在仍在运行被遗忘的自管理实例的人身上。 ## Takeaway GitLab已为这一10.0分的正则表达式漏洞发布补丁，但未打补丁的自管理服务器仍面临风险；Rapid7当日推出的检测能力，是其10月2日新设部门的第一个可用实证。 ## Sources 1. [Rapid7, CVE-2026-97229: Critical Unauthenticated Remote Code Execution in GitLab, 13 October 2026](https://www.rapid7.com/blog/post/etr-cve-2026-97229-critical-unauthenticated-remote-code-execution-in-gitlab/) 2. [eSecurity Planet, GitLab Warns of CVSS 10.0 Flaw That Could Allow Server Takeover, 13 October 2026](https://www.esecurityplanet.com/news/news-gitlab-critical-server-takeover-flaw/) 3. [BleepingComputer, GitLab warns of max severity code execution vulnerability, 12 October 2026](https://www.bleepingcomputer.com/news/security/gitlab-warns-of-max-severity-rce-flaw-in-regex-compiler-engine/) 4. [@_CryptoCat on X, Rapid7 PoC for CVE-2026-97229, 13 October 2026](https://x.com/_CryptoCat/status/2110052018593362428) 5. [SC Media, GitLab patches 10.0 flaw in its CE and EE products, 14 October 2026](https://www.scworld.com/news/gitlab-patches-10-0-flaw-in-its-ce-and-ee-products) 6. [TechRadar via MSN, CISA warns hackers are exploiting this max severity GitLab flaw, 14 September 2026](https://www.msn.com/en-us/technology/cybersecurity/cisa-warns-hackers-are-exploiting-this-max-severity-gitlab-flaw/ar-AA2ccpv4) 7. [Rapid7 press release via Yahoo Finance, Rapid7 Launches Rapid7 Intelligence to Harness Threat Data Against Attackers, 2 October 2026](https://finance.yahoo.com/technology/ai/articles/rapid7-launches-rapid7-intelligence-harness-130000040.html) 8. [GlobeNewswire via MarketScreener, Rapid7 to Report Third Quarter 2026 Financial Results on November 4, 14 October 2026 (page also carries the 15 September JPMorgan underweight call, $12 target)](https://www.marketscreener.com/news/rapid7-to-report-third-quarter-2026-financial-results-on-november-4-ce785dd2d181f526) 9. [Rapid7, quarterly figures from its SEC filings, retrieved 15 October 2026](https://www.sec.gov/cgi-bin/browse-edgar?action=getcompany&CIK=0001560327) 10. [GitLab, quarterly figures from its SEC filings, retrieved 15 October 2026](https://www.sec.gov/cgi-bin/browse-edgar?action=getcompany&CIK=0001653482) 11. [GitLab, quarterly figures from its SEC filings, retrieved 16 October 2026](https://www.sec.gov/cgi-bin/browse-edgar?action=getcompany&CIK=0001653482) --- 距三季报发布仅三周，Rapid7把GitLab满分漏洞变成产品实测 — The Inference. Canonical: https://theinference.org/article/rapid7-turns-gitlab-s-10-0-flaw-into-a-live-product-demo-three-weeks-before-earnings/zh-CN