通告
Ruby 发布 4.0.9/3.4.12/3.3.13：修复 Onigmo 正则编译缺陷，对应 GitLab 多条远程代码执行 CVE 的上游根因
Ruby 项目于 10 月 23 日发布 4.0.9、3.4.12 与 3.3.13，修复正则引擎 Onigmo 中多处在编译攻击者可控模式时可导致内存损坏的问题；这些问题正是 GitLab 已公开的 CVE-2026-89078、CVE-2026-93577、CVE-2026-97229、CVE-2026-110264 等所依赖的上游缺陷。官方说明仅当应用用 Regexp.new、Regexp.compile、Regexp.union 或插值字面量等方式编译不可信输入时才可达；仅使用开发者自写正则的应用不受影响。Regexp.timeout 与单纯限制模式长度均不能可靠防护。Ruby 暂未为这些修复单独申请 CVE，建议跟踪时仍引用 GitLab 的 CVE 编号，并升级至上述版本或避免从不可信输入编译正则。
跟你的关系自托管 GitLab 之外、同样会编译用户/配置侧正则的 Ruby 应用与运行时应升至 4.0.9、3.4.12 或 3.3.13；无法升级则应停止对不可信输入调用正则编译接口。
活动
Ruby 安全说明与版本发布于 2026-10-23；对应 GitLab 侧 CVE 与补丁已于此前数日公开。
- 状态
- 已公开
- 行业
- 信息技术、专业服务
- 可信度
- 高
可信度标为高：已经打开的独立调查报告不止一份。
来源
Ruby · 事件调查报告 · 最先提出