GitLab发布紧急补丁修复CVSS 9.4高危漏洞：未认证攻击者可远程删除公共项目及用户数据

在特定条件下，攻击者无需任何身份认证和用户交互，即可通过单个HTTP请求删除公开的GitLab项目、篡改项目状态、伪造合并记录甚至封禁维护者。watchTowr首席安全研究员克诺特表示，其团队在漏洞披露后数分钟内即完成复现，并在全球蜜罐网络中观测到针对该漏洞的在野利用尝试。

漏洞仅影响自托管GitLab实例，GitLab.com和GitLab Dedicated云端客户已运行修复版本，无需操作。但运行18.2至18.10分支的用户因不在补丁覆盖范围内，必须整体升级至受支持版本，而非等待修复补丁。

同一版本还修复了另一高危漏洞CVE-2026-19650，该CSRF缺陷位于GraphQL多路查询处理器中，需要用户交互才能利用。GitLab通过HackerOne漏洞赏金计划收到报告，技术细节将在90天后公开。安全专家警告，AI辅助攻击正大幅压缩从漏洞披露到被利用的时间窗口，企业应立即修补暴露在互联网的自托管实例。