GitLab Releases Critical Security Patches for Multiple Versions

•GitLab定期發布安全修補程式，通常每月兩次，並針對高嚴重性漏洞提供臨時修補程式，以確保及時應對威脅。
•近期修復的關鍵漏洞涵蓋了不當存取控制、阻斷服務以及授權繞過等問題，例如Duo AI工作流程執行器、Wiki和GraphQL WorkItem API中的漏洞。
•GitLab透過HackerOne錯誤懸賞計畫與安全研究人員合作，並在修復發布30天後公開漏洞詳情，以保持透明度並鼓勵社群參與。
•GitLab 19.0版本（於2026年5月發布）引入了增強的軟體供應鏈安全功能，包括帶有軟體物料清單（SBOM）的依賴掃描和GitLab Secrets Manager的公開測試版，以提升軟體供應鏈的可見性和憑證管理。

📊 競品分析▸ Show

功能/產品	GitLab	GitHub	Bitbucket
DevSecOps整合	提供完整的DevSecOps平台，內建CI/CD、安全掃描、合規性工具	擁有龐大社群和協作功能，透過GitHub Actions提供強大的CI/CD，並有安全功能	專為Atlassian生態系統設計，與Jira和Confluence深度整合，提供CI/CD管道 (Bitbucket Pipelines)
安全掃描工具	內建SAST、DAST、容器掃描、依賴掃描、秘密偵測、程式碼品質分析	提供自動化漏洞掃描和秘密洩漏偵測	支援Docker映像檔漏洞偵測、IaC掃描
漏洞管理	集中式安全儀表板、漏洞報告、與HackerOne整合的錯誤懸賞計畫	透過HackerOne等第三方整合提供漏洞管理	較少提及內建的進階漏洞管理功能，主要依賴Atlassian生態系統整合
自託管選項	提供強大的自託管選項，適合有嚴格合規性或安全需求的企業	提供自託管選項 (GitHub Enterprise Server)	提供自託管選項 (Bitbucket Data Center)
社群與生態系統	中等規模社群，專注於DevSecOps整合	最大的開發者社群，豐富的開源專案和第三方整合	較小社群，主要服務於Atlassian產品使用者

GitLab將安全實踐整合到DevSecOps生命週期的每個階段，透過「左移」策略在開發早期發現並修復漏洞。
平台提供多種內建安全掃描工具，包括靜態應用程式安全測試 (SAST)、動態應用程式安全測試 (DAST)、容器掃描、依賴掃描、秘密偵測和程式碼品質分析。
安全掃描自動整合到CI/CD管道中，由程式碼變更（如推送和合併請求）觸發，並在開發者工作流程中提供即時回饋。
GitLab維護一個名為GitLab Advisory Database (GLAD) 的安全諮詢資料庫，該資料庫每小時更新，為依賴掃描和容器掃描提供已知漏洞資訊。其開源版本則有30天的延遲。
漏洞管理透過集中式安全儀表板和漏洞報告進行，允許團隊追蹤、分類和優先處理安全問題。
GitLab的產品安全事件回應團隊 (PSIRT) 負責安全修補程式的發布流程，包括驗證、CVE更新、部落格文章發布和客戶溝通。

GitLab將持續強化其DevSecOps平台中的AI相關安全功能。

隨著GitLab 19.0引入AI工作流程和Duo AI相關漏洞的修復，未來將有更多針對AI生成代碼和AI輔助系統的安全措施。

自託管GitLab實例的安全性維護將變得更加關鍵且複雜。

GitLab持續發布多個版本分支的修補程式，並強調自託管實例的強制性更新，這要求管理員必須密切關注並及時應用更新以應對不斷演變的威脅。

2025-04-03

GitLab透過HackerOne啟動錯誤懸賞計畫，將漏洞報告整合至其工作流程。

2026-01-16

GitLab發布安全諮詢 (AV26-040)，解決18.8.1之前版本中的漏洞。

2026-04-08

GitLab發布安全修補程式，修復影響18.8.9、18.9.5和18.10.3之前版本的阻斷服務漏洞 (CVE-2026-1092)。

2026-04-22

GitLab解決了11個漏洞，包括影響CE/EE版本的高嚴重性跨站請求偽造 (CSRF) 和跨站指令碼 (XSS) 問題。

2026-05-13

GitLab發布18.11.3、18.10.6、18.9.7等修補版本，解決了包括授權繞過 (CVE-2026-3073) 和XSS (CVE-2026-6073) 在內的多個漏洞。

2026-05-22

GitLab 19.0發布，引入了帶有軟體物料清單 (SBOM) 的依賴掃描和GitLab Secrets Manager的公開測試版等增強安全功能。

2026-05-27

GitLab發布19.0.1、18.11.4、18.10.7版本，包含重要的錯誤和安全修復，包括Duo AI工作流程執行器中的不當存取控制問題。

GitLab 發布多個版本的關鍵安全性修補程式