GitLabにCVSS 10.0の未認証RCE、2014年以降の全バージョンが対象
What's Getting Pwned
GitLabがCVE-2026-110264の緊急パッチを公開。同梱のOnigmo正規表現コンパイラの整数オーバーフローにより、未認証の攻撃者が自己管理型GitLab上でコードを実行できる。CVSS 10.0で、7.0以降のCE/EE全バージョンが影響範囲に入る。10月12日の修正を適用済みのインスタンスも再アップグレードが必要だ。
CVSS 10.0；2014年の7.0以降、すべてのCE/EEバージョンが影響範囲に含まれる。
HNでの議論
135- pixl97
2025年がどうだったか比較してみるのは面白いだろうね。
脆弱性が見つかるペースがとにかく異常だ。昔から多くの人が、我々の甘いセキュリティ体制がいずれ牙を剥くと言っていたが、ついにその時が来たわけだ。
- demibabs
AIが生成するページはどれも、あまりにも狭い場所にあまりにも大量の情報を詰め込みすぎている
- xbar
Mythosを8時間いじった後、どう思うか聞かれた。私の答えは「この世代のLLMは、世界がこれまで見た中で最大のセキュリティインシデントの波を引き起こすだろう」だった。
まだ始まったばかりだ。
- aeturnum
インシデントの分類が理解できない。このSignalの脆弱性[1]は「Live」かつ「ongoing」と表示されているが、1か月以上前にパッチが当たっている（今日ようやく公表されただけだ）。既知のエクスプロイトがないインシデントが、パッチリリースから1.5か月経っても「ongoing」なら、いつ終わるというのか？
- aduwah
pwnhubと名付けなかったのは機会損失だ
- meerita
我々は今、ずさんな人間が書いたコードの最期の日々を目撃しているにすぎない。ほとんどのバグが修正される時代に到達するだろう。
- WarmWash
注目すべきは、人々が中国製モデルの能力を悪用し始めたときにCCPがどう動くかだ。中国は広範なサイバー破壊の顔になりたくはないだろうし（ましてやその被害者になるのは絶対に嫌だろう）。そして、たった一人の常軌を逸したクソ野郎がすべてを台無しにしかねない。
逆の側面もあって、中国製モデルが米国のインフラ攻撃に使われれば、「中国製モデル禁止」の大砲に砲弾を装填するだけのことだ。
- dunder_cat
rssボタンが動かない。https://pwn.watch/feed.xml にリダイレクトされると404が返ってくる :-(。
実際、「json」と「llms.txt」ボタンも同様のようだ。