先說結論：自架 GitLab Community Edition 或 Enterprise Edition 的管理者應核對 CVE-2026-85706。GitLab 是團隊存放程式碼、追蹤變更與執行開發流程的平台；自架表示組織自行管理伺服器或其部署環境。GitLab 於 2026 年 9 月 10 日公告，特定條件下未登入使用者可能因路徑限制與驗證不足而讀取伺服器檔案。CISA 於 9 月 11 日把此漏洞加入已知遭利用目錄（KEV）。原廠最初提供 19.3.2、19.2.6、19.1.8 修補，後來又在 9 月 23 日回補到 19.0.9 和 18.11.12。管理者應按實際分支選擇適用修正版，驗證所有節點已更新；不能只看到較早的公告標題就漏掉後續回補資訊。
背景與前因：GitLab 的專案資料除了程式碼，還可能包含開發流程設定、問題討論及整合資訊，因此檔案讀取權限需要清楚界定。原廠的重大修補公告涵蓋多項不同弱點，本文只聚焦 CVE-2026-85706，避免把其他漏洞的影響混入。GitLab 在 9 月 10 日發布修補版本，CISA 隔日將此 CVE 納入 KEV；GitLab 後續於 9 月 23 日調整可更新的舊分支選項。這三個時間點各有不同用途：最初的修補、政府優先處置判斷、原廠較晚的版本回補。本文依 10 月 4 日可取得的官方資料重新整理，沒有把舊公告改寫成當天才發現的新入侵。
原因與前置條件：GitLab 說問題與 repository commits API 有關。API 是供軟體之間交換資料的介面，而 repository commits API 用於讀取儲存庫提交紀錄等資訊。若系統未正確限制檔案路徑或未在必要處驗證存取身分，請求可能越過原本允許的檔案範圍；這類問題稱為路徑遍歷。原廠描述的後果是特定條件下未登入者可能讀取伺服器上的任意檔案。這是資料機密性風險，不應憑空改寫成漏洞本身可直接執行任意程式，或宣稱所有被託管專案已經公開。公開公告也沒有替任何單一組織判斷實際有無資料被讀取。
影響範圍：GitLab 的修補表指出，CE 與 EE 自 18.7 起低於 18.11.12 的版本、19.0 低於 19.0.9、19.1 低於 19.1.8、19.2 低於 19.2.6、19.3 低於 19.3.2 的版本受到影響。這是原廠按分支列出的界線，不能把 19.3.2 一個版號直接當成所有自架站點的唯一升級終點。GitLab.com 已由原廠運行修補版本，GitLab Dedicated 客戶在該公告中被告知不需自行處理同一升級工作；這不表示所有其他自行管理的安裝也自動修好。若組織有正式、備援或測試實例，只檢查一台主機的版本仍不足以完成盤點。
CISA 將此漏洞列入 KEV，是官方掌握已知利用證據的訊號，應提高自架環境修補優先級。但 KEV 不會列出每個組織的受害清單，也不會直接說明哪些檔案可能被接觸。GitLab 公告中的 CVSS v3.1 分數是 10.0，代表技術嚴重度很高；分數和 KEV 都不能代替本地鑑識。尤其平台上可能有跨多個專案的管理設定，實際風險要看站點是否對外、伺服器存放哪些檔案、版本是否落在受影響範圍，以及既有監控能提供哪些紀錄。管理者應依這些現場資訊排序，而不是只靠產品名稱推測每個使用者都已受影響。
你可以怎麼做：先列出所有自架 GitLab CE/EE 實例，記錄產品版本、部署方式、是否對外可達、管理責任人及更新窗口。依 GitLab 10 月 4 日可讀到的公告，對照每個分支的修補底線，並評估是否應直接升到該分支更晚的安全修正版。更新前依既有維運程序保存設定與備份、確認與整合工具的相容性；更新後從實例本身核對版本，測試正常登入、專案存取及必要自動化流程。若平台有多個應用節點、容器映像或備援站，應檢查所有可提供服務的節點，避免一個未更新節點在切換流量後重新暴露問題。
GitLab 的 9 月 23 日回補值得特別檢查。若團隊在 9 月 10 日看到原始公告，當時可能認為只能往較新的 19.1、19.2 或 19.3 分支走；回補後，18.11 與 19.0 分支有新的修補選項。這些後續版本是原廠對升級路徑的補充，不代表可以忽略現有版本的安全維護政策。應由維運人員根據支援狀態、套件來源和測試結果決定合適路徑，避免自行混用不同分支的檔案。若託管服務或委外團隊負責升級，要求對方提供實際版號及完成驗證時間，比只收到『已處理』更能確認修補落地。
若站點已有不尋常的存取紀錄或其他警訊，應保留既有日誌並交給事件應變人員評估。原廠公告提到可供自架客戶參考的偵測資訊，但沒有說所有被讀取的檔案都能在一般管理畫面直接看見。版本落後表示需要修補，不等於已被讀取；更新完成也不能反過來證明此前沒有事件。檢查可能的資料接觸範圍時，應遵守組織自己的紀錄保存與事件通報流程，不在公開文章暴露任何實際檔案內容、帳號或秘密。本文只提供風險理解與維運盤點，沒有路徑遍歷的操作細節。
尚待組織自行回答的問題包括：哪些自架實例仍在受影響分支、是否有長期停用但可連線的舊站、更新是否覆蓋所有節點，以及是否有足夠紀錄判斷異常存取。GitLab 和 CISA 的公開來源提供版本邊界及優先處置信號，卻不會替每個站點完成資產盤點或事件調查。建立清單時可以同時記下目前版本、目標版本、備份、變更窗口、更新後驗證與例外原因，使後續人員能看出工作到底完成到哪裡。若原廠再修訂受影響版本或提供後續補丁，應根據新公告更新清單。
這篇補刊記錄 GitLab 2026 年 9 月 10 日的重大修補、9 月 23 日的舊分支回補，以及 CISA 9 月 11 日的 KEV 收錄，兩個官方來源在 10 月 4 日重新查核。可直接採取的行動是盤點自架 GitLab 實例、依分支升級、檢查所有節點及必要的存取紀錄。不能從公開公告推論的是任何特定讀者的程式碼、設定或資料已遭讀取。把嚴重的技術風險與尚待調查的本地事實分開，才能在快速修補之餘維持準確的對外說明。
官方來源：
- GitLab Critical Patch Release: 19.3.2, 19.2.6, 19.1.8（GitLab）
- Known Exploited Vulnerabilities Catalog — CVE-2026-85706（CISA）
這篇觀察對你有幫助嗎？
支持 Darknoted 持續維護隔離研究環境、資料查核與內容更新。
了解如何支持本站更新紀錄
：完成公開內容與 metadata 更新。