事件经过
CISA于2026-10-29将CVE-2026-97229添加到已知被利用漏洞目录中，并确认已被实际利用。这是GitLab CI/CD正则表达式编译器中的整数溢出，允许未经认证的攻击者执行任意代码；同一正则引擎数天后又产生了CVSS 10的RCE（CVE-2026-110264）。该脆弱路径自GitLab 7.0起就存在。
影响分析
GitLab是AI软件供应链的控制平面——模型/源代码仓库、训练和部署模型的CI/CD，以及日益增加的MCP服务器集成。确认的未经认证RCE使攻击者能在存储AI仓库机密、模型工件和部署凭证的主机上执行代码。
攻击途径
一个未经认证的用户提供一个精心构造的正则表达式（例如在CI/CD配置中），在Ruby/Onigmo正则编译器构建模式字节码时导致整数溢出。回绕会以可被引导为任意代码执行的方式破坏内存，发生在任何输入匹配之前；Regexp.timeout无法防止此问题。
受影响系统
GitLab CE/EE——在CI/CD配置中编译精心构造的正则表达式时的整数溢出（CVSS 10.0）。在18.11/19.0/19.1/19.2/19.3/19.4/19.5的补丁发布集中修复（如19.4.3、19.3.6、19.2.9、19.1.9、19.0.10、18.11.13）。
缓解措施
立即修补到固定版本（仅限自托管实例；GitLab.com已修复）。CISA在KEV中列出此漏洞，联邦截止日期为2026-11-01。