前面两篇我们分别梳理了服务端运行时组件与 10 月下旬的整体风险态势。本篇把视角收窄到一类最容易被资产台账遗漏、但一旦失守影响面极大的系统——研发与协同办公平台。

这类系统有三个共同特征：

1. 它们是凭据与数据的"浓缩点"。 CI/CD 服务器持有代码仓库、构建产物、部署凭据与集成令牌；日志检索平台集中了全网日志，往往包含大量未脱敏的业务数据；OA 系统则同时承载组织架构、审批流与公文附件。
2. 它们常常不在常规资产台账里。 研发团队自建的 GitLab、测试环境里的 Jenkins、为某个项目临时部署的日志平台，很多时候不出现在运维部门的资产清单上，也就不会被纳入漏洞排查范围。
3. 它们的暴露面往往超出预期。 为了方便远程协作与异地开发，这些系统常被直接发布到互联网，而没有经过与对外业务系统同等强度的访问控制。

一、本月漏洞速览

二、CI/CD 与代码托管：本月的两个最高危项

2.1 GitLab：CVSS 满分的 CI/CD 编译器漏洞

GitLab 于 10 月 12 日发布 19.4.2、19.3.5、19.2.8 版本，一次修复 24 个安全问题，其中最严重的是：

• CVE-2026-97229（CVSS 10.0）：位于 CI/CD 正则表达式编译器。正则表达式校验不充分可导致整数溢出，攻击者在 CI/CD 配置中提交特制的正则表达式，即可在 GitLab 服务器上执行任意代码。官方公告指出该问题在特定条件下无需身份验证。
• CVE-2026-92883（CVSS 8.7）：语法高亮处的跨站脚本问题，认证用户可通过特制仓库在其他用户的浏览器中执行任意 JavaScript。
• CVE-2026-16301（CVSS 8.5）：授权缺陷，开发者可在未获授权的情况下于受保护分支上运行流水线。
• CVE-2026-14814（CVSS 8.2）：原始仓库文件响应的缓存投毒，可能暴露受保护的 CI/CD 变量。

CERT-EU 与新加坡网络安全局均就此发布通告，建议优先升级面向互联网的 GitLab 实例。需要说明的是，Rapid7 研究人员在未打补丁的官方镜像（19.4.1）上复现了任意代码执行，同时在 19.4.2 上确认失效；其研究也指出，实际利用需要攻击者先向公共项目的分支提交恶意的 .gitlab-ci.yml 及含 UTF-8 字符的仓库路径，因此公开项目、允许外部贡献者提交的配置风险最高。

处置要点：

• 自管（self-managed）实例升级至 19.4.2 / 19.3.5 / 19.2.8 或同分支更高版本；GitLab.com 已修复，GitLab Dedicated 用户无需操作。
• 注意 19.3.x 分支以 19.3.5 为准（早期通告提到的 19.3.4 因合并请求页面与 Ona 集成的问题已被取代），请以厂商当前发布列表为准。
• 升级前留意：19.3.4 起包含部署后迁移，单节点实例升级期间会停机，需提前安排窗口。
• 排查范围要覆盖非生产环境的自建实例——测试、内部项目、临时搭建的镜像往往版本最旧，也最容易被遗忘。

2.2 Jenkins：15 个 CVE，其中多个可在控制器上执行代码

Jenkins 项目于 10 月 28 日发布安全公告，一次性修复 15 个漏洞（13 个高危、2 个中危），修复版本为 Jenkins 2.588 与 LTS 2.580.2。其中值得特别关注的几类：

• 反序列化与远程代码执行：CVE-2026-117612 位于 XStream 反序列化，转换器未对 resolves-to 属性引用的类型应用反序列化过滤器，攻击者可在反序列化期间实例化任意类型，可能导致远程代码执行；CVE-2026-117614 可绕过旧版代理配置的启动命令审批，具备 Agent/Configure 权限的用户可在控制器 JVM 上下文中执行任意代码。
• 文件读写：CVE-2026-117615（复制重命名条目时跟随符号链接，可任意文件读取）、CVE-2026-117616（代理名称路径穿越，可覆盖 config.xml）、CVE-2026-117617（产物解包竞态，可在控制器任意位置写入文件）。
• 账号接管：CVE-2026-117618 是安装向导中的竞态条件，未认证攻击者可在初始账号被替换的时间窗内创建管理员账号——这是本次公告中对互联网暴露实例威胁最大的一条；CVE-2026-117620 通过"管理旧数据"功能注入内容，管理员一旦处置该警告，攻击者即可覆盖其他用户的数据（含口令）。
• 凭据吊销失效：CVE-2026-117619 —— 使用 API 令牌通过 HTTP Basic 认证的请求可获得"记住我" Cookie，即使 API 令牌被吊销或过期，攻击者仍可凭该 Cookie 保持访问。这一条直接推翻了"吊销令牌即切断访问"的常见处置假设。

这些漏洞中，多个只需要 Overall/Read（整体读取）这一很低的权限即可触发，对已持有普通账号的内部人员或已入侵边界的攻击者而言门槛很低。Jenkins 控制器保存着构建密钥、凭据与流水线代码，一旦被控，影响会沿供应链向下游扩散。

补充一个值得注意的细节：本次 15 个问题中有 13 个由 Anthropic 的开源安全项目报告或联合报告，另 2 个来自欧盟委员会赞助的 Jenkins 漏洞赏金计划。这再次说明自动化漏洞发现正在规模化——修补窗口正在被系统性压缩。

三、日志与检索平台：Elastic 14 项安全修复

Elastic 于 10 月上旬发布 14 项安全公告，覆盖 Elasticsearch、Kibana 与 Elastic Agent/Endpoint：

• CVE-2026-102406（CVSS 8.8，Kibana）：包管理缺陷导致跨租户数据拦截，攻击者可获取其他用户的数据。影响 8.14.0–8.19.21、9.0.0–9.4.6、9.5.0–9.5.3，修复版本为 8.19.22 / 9.4.7 / 9.5.4。
• CVE-2026-103009（CVSS 7.1，Elasticsearch）：跨集群搜索的授权绕过。安全插件在校验跨集群分片级请求时，仅用 ShardId 中的索引名查询权限，未校验请求方可自行提供的索引 UUID 是否与当前集群状态一致；持有跨集群 API key 的攻击者可构造"名称指向已授权索引、UUID 指向未授权索引"的分片标识，使鉴权通过但实际作用于未授权索引，造成该索引文档内容与字段映射泄露。
• CVE-2026-102411（Elasticsearch）：索引模板与组件模板的 metadata 字段只在单模板注册时校验大小，一次性检索全部模板时缺少总内存占用限制，持有 manage_index_templates 权限的用户可导致堆内存耗尽与节点 OOM 拒绝服务。
• CVE-2026-102404（CVSS 6.5）：通过特制 ES|QL 查询导致拒绝服务。
• CVE-2026-102413：影响 Elastic Endpoint 在 Windows 上的防护能力。

处置建议：按官方公告升级到对应修复版本；同时对日志平台的访问做收敛——日志检索接口不应直接暴露在互联网，且应对查询结果中的敏感字段（手机号、身份证号、口令、令牌）做脱敏处理。

四、国产协同办公与业务系统：本月最需要自查的一类

国内企事业单位大量使用泛微、致远、通达、用友、金蝶等协同办公与业务系统，这类系统通常直接承载组织架构与公文数据，且历史漏洞的公开利用程度很高。本月及近期公开渠道可查到的重点项包括：

此外，用友、通达、金蝶、宏景等系统长期存在一批文件上传类高危漏洞（如 doUpload.jsp、mobsm/common/upload、SmartUpload01.jsp、general/vmeet/privateUpload.php、OfficeServer.jsp、emp/lang2sql 等路径），由于很多单位仍在使用未升级的历史版本，这类"老漏洞"在实际攻防中依然是最常见的入口之一。建议各单位按自身资产清单逐条比对路径是否存在、是否可被未授权访问。

五、办公终端与文档阅读器

研发与管理人员的日常终端同样是薄弱环节，本月需关注：

• Adobe Acrobat / Acrobat Reader：安全公告 APSB26-141（9 月 8 日）一次性修复 20 余个漏洞，其中 CVE-2026-81983 为图像渲染流程中的越界写入（CVSS 7.8），打开恶意 PDF 即以受害者权限执行代码。该漏洞由研究者借助大模型辅助构造的模糊测试工具发现——仅 745 字节的 PDF、一个 16 位色深的构造图像即可触发，本质是 32 位整数溢出导致缓冲区校验被绕过。官方称尚未观察到实际利用。修复版本：连续版 26.002.21901、2024 经典版 24.001.30429。
• Acrobat for Edge：CVE-2026-100134（CVSS 8.8，10 月 20 日），越界写入导致任意代码执行，需用户打开恶意文件触发。浏览器内置的 PDF 阅读体验覆盖面极广，建议按微软更新指南统一修复。
• Google Chrome：升级至 155.0.8059.84 并重启浏览器（10 月 13 日版本修复 37 个安全问题，其中 7 个严重）。

给终端管理者的两条建议： 一是对 PDF 附件保持与可执行文件同级别的警惕，在邮件网关侧做过滤；二是关注终端上 Acrobat 相关组件的异常崩溃事件，这可能是利用尝试的早期信号。

六、版本自查命令清单

以下为常用自查命令，可在对应主机上直接执行（需具备相应主机访问权限）：

# GitLab（Omnibus 安装）
sudo gitlab-rake gitlab:env:info | head -20
# 或
head -5 /opt/gitlab/version-manifest.txt

# Jenkins
java -jar jenkins.war --version
curl -sI http://127.0.0.1:8080 | grep -i x-jenkins

# Elasticsearch
curl -s http://127.0.0.1:9200 | jq .version.number

# Kibana
curl -s http://127.0.0.1:5601/api/status | jq .version.number

# PHP（注意 CLI 与 Web 可能版本不同）
php -v && php-fpm -v

# 对外开放面自查：确认研发/OA/日志平台是否可从公网访问
# （在外部网络执行，或在边界防火墙上核对策略）
curl -sI https://<你的域名>/ | head -1

协同办公系统的版本通常可在后台"关于"页面或 WEB-INF 相关配置中查看；如无法确定，建议直接联系原厂商或实施方确认版本与补丁状态。

七、处置优先级建议

同时建议完成两项"非补丁类"动作：

1. 收敛暴露面。 研发与日志类系统原则上不应直接暴露在互联网；确有远程协作需求的，应通过 VPN 或零信任网关接入，并开启多因素认证。
2. 补资产台账。 逐部门确认自建的 GitLab、Jenkins、日志平台、测试 OA 实例，纳入统一台账与漏洞通知名单。本月多起事件中，出问题的大多是"台账上没有的那台机器"。

八、我公司的建议

从本月这批漏洞看，有三点值得各单位信息化与安全负责同志留意：

1. 研发基础设施已成为高价值目标。 它同时持有代码、凭据与发布通道，一次失守的影响远大于单台服务器。其防护强度应当与对外业务系统对齐，而不是当作"内部开发机"对待。
2. "吊销凭据即切断访问"不再可靠。 Jenkins 的 CVE-2026-117619 就是典型反例。凭据处置后，应同时清理已签发的会话、Cookie 与长期令牌，并核对审计日志。
3. 国产协同办公系统的历史漏洞仍是实际主要入口。 这类系统往往部署年代久远、升级协调成本高，建议采用"边界收敛 + 虚拟补丁 + 访问白名单"的组合方式争取整改时间，同时把升级列入年度计划。

我公司可提供研发与协同办公平台的资产梳理、版本与漏洞自查、升级方案与窗口编排、暴露面收敛与访问控制加固等服务。如需协助开展本次通报涉及系统的排查与处置，欢迎联系。

联系电话：0351-5255612（此为我公司唯一对外联系电话）
官方网站：www.sxslz.com（我公司对外邮箱后缀均为 @sxslz.com）
投诉与举报渠道：ts.sxslz.com

参考资料

1. GitLab 补丁发布说明（19.4.2 / 19.3.5 / 19.2.8），2026 年 10 月 12 日；CERT-EU 通告 2026-016、新加坡网络安全局 AL-2026-141
2. Jenkins 安全公告（2026-10-28）与 CloudBees 安全公告（2026-10-28）
3. Elastic 安全公告（2026 年 10 月 6—8 日），含 CVE-2026-102406、CVE-2026-103009、CVE-2026-102411、CVE-2026-102404、CVE-2026-102413
4. 阿里云漏洞库：Elasticsearch 跨集群搜索授权绕过（CVE-2026-103009）、堆内存耗尽拒绝服务（CVE-2026-102411）、泛微 e-Bridge 任意文件读取（CVE-2020-37278）
5. 泛微 E-cology SQL 注入漏洞（CVE-2026-102785）公开通报，2026 年 10 月 22 日
6. 国内安全厂商 IPS 特征库关于致远 OA getLockTime 代码注入、FastReport Export.axd 代码注入的规则说明
7. Adobe 安全公告 APSB26-141，2026 年 9 月 8 日；微软更新指南 CVE-2026-100134（Acrobat for Edge）
8. Google Chrome 稳定版更新说明，2026 年 10 月

本文整理自厂商安全公告与公开报道，仅供安全防护参考，请勿用于非法用途。版本号与修复方案以各厂商官方发布为准。