GitLab Releases Security Patches for Versions 18.11.3, 18.10.6, 18.9.7

•GitLab的安全性修補程式發布分為兩種：每月兩次的定期發布，以及針對高嚴重性漏洞的非計畫性緊急修補程式，以確保迅速應對關鍵安全威脅。
•GitLab的維護政策規定，安全性修補程式會回溯應用於當前穩定版本以及前兩個月度版本，但在極端高嚴重性情況下，可能會擴展到更多舊版本，以提供更廣泛的保護。
•GitLab已在其18.11版本中全面推出AI驅動的「代理式SAST漏洞解決方案」，能夠自動分析、生成修復程式並創建合併請求，以加速關鍵和高嚴重性SAST漏洞的修復，顯著減少開發人員在發布後修復漏洞所花費的時間。
•GitLab 18.10版本中普遍可用的SAST誤報檢測功能，利用AI分析關鍵和高嚴重性SAST漏洞，判斷其為誤報的可能性，從而幫助團隊更自信地分類處理漏洞，減少噪音並提高修復效率。

📊 競品分析▸ Show

特性/平台	GitLab	GitHub	Bitbucket
核心定位	全方位DevSecOps平台，整合開發、安全、營運	最大的開源社群和協作平台	深度整合Atlassian產品生態系統
CI/CD	內建且高度整合的CI/CD工具，DevOps流程核心	透過GitHub Actions提供強大CI/CD功能	Bitbucket Pipelines易於使用，但進階場景可能需額外工具
安全功能	提供SAST、DAST、容器掃描、依賴掃描、秘密檢測、IaC掃描、API安全、模糊測試等全面安全工具	自動化漏洞掃描、秘密洩漏檢測、私人儲存庫	進階分支權限、程式碼品質洞察、私人儲存庫
部署選項	雲端服務、自託管、GitLab Dedicated (單租戶SaaS)	雲端服務、GitHub Enterprise Server (自託管)	雲端服務、Bitbucket Data Center (本地部署)
社群/整合	廣泛的DevSecOps工具整合，中等規模社群	龐大的開發者社群，豐富的第三方應用程式市集	與Jira、Confluence等Atlassian產品無縫整合

GitLab採用語義化版本控制（Major.Minor.Patch），例如18.11.3中的18為主要版本，11為次要版本，3為修補程式版本。
安全性修補程式發布流程由產品安全事件響應團隊（PSIRT）工程師負責，包括建立任務、執行驗證、更新CVE、發布部落格文章和客戶溝通。
GitLab的維護政策規定，安全性修補程式會回溯應用於當前穩定版本以及前兩個月度版本。
GitLab Duo Agent Platform中的AI功能，如代理式SAST漏洞解決方案和SAST誤報檢測，可利用Anthropic Claude-3.5-Sonnet或Vertex AI等大型語言模型。
代理式SAST漏洞解決方案能夠自主分析漏洞發現、推斷周圍程式碼上下文、生成上下文感知的修復程式，並自動創建帶有品質評估的合併請求，以解決關鍵和高嚴重性SAST漏洞。
GitLab提供多種應用程式安全測試（AST）工具，包括靜態應用程式安全測試（SAST）、動態應用程式安全測試（DAST）、容器掃描、依賴掃描、秘密檢測、API安全和模糊測試，以在開發生命週期中識別漏洞。

AI將在DevSecOps流程中扮演更核心的角色。

GitLab持續整合AI功能，如自動漏洞修復和誤報檢測，預示著未來開發安全將更加依賴自動化和智慧化工具來提高效率和準確性。

軟體供應鏈安全將成為持續關注的焦點。

GitLab對SBOM（軟體物料清單）支援的擴展以及對秘密洩漏和憑證管理的強調，表明業界將更加重視從源頭到部署的全面供應鏈安全保護。

自託管GitLab實例的安全性維護挑戰將持續存在。

GitLab頻繁發布針對自託管實例的安全性更新，並警告用戶立即升級，突顯了自託管環境在及時修補和配置安全方面的持續複雜性和重要性。

2024-01-25

GitLab修補關鍵密碼重設漏洞 (CVE-2023-7028)

2024-09-13

GitLab修補關鍵管線執行漏洞 (CVE-2024-6678)

2025-10-03

Red Hat內部GitLab實例遭入侵事件披露

2025-11-28

研究發現超過17,000個秘密在公共GitLab儲存庫中暴露

2026-02-19

GitLab 18.9發布，引入帶有秘密檢測預設設定檔的安全配置設定檔

2026-04-16

GitLab 18.11發布，AI驅動的代理式SAST漏洞解決方案普遍可用

GitLab 發布 18.11.3、18.10.6 與 18.9.7 版本安全性更新