极狐GitLab 补丁版本与安全更新：19.5.3、19.4.5、19.3.7、19.2.10、19.1.10、19.0.11、18.11.14

我们已为极狐GitLab 基础版和企业版发布 19.5.3、19.4.5、19.3.7、19.2.10、19.1.10、19.0.11、18.11.14 版本。我们还为极狐GitLab Runner 发布了 19.5.1 版本，并为极狐GitLab AI 网关发布了 18.11.8、19.0.13、19.1.9、19.2.5、19.3.3、19.4.3、19.5.3 版本。JihuLab.com 已完成补丁更新。

这些版本修复了 CVE-2026-111943，并包含其他不相关的缺陷修复。强烈建议所有私有化部署的极狐GitLab 安装实例升级到上述版本之一。如果您使用自部署版本的 Runner 或 AI 网关，也必须将这些组件升级到最新版本；相关指引见下文。极狐GitLab 托管的基础设施已完成升级。

安全更新

CVE-2026-111943 - 极狐GitLab 已移除对已泄露的 eMudhra 中间 CA 证书的信任（适用于极狐GitLab 基础版/企业版）

对于极狐GitLab 基础版/企业版，极狐GitLab 已移除对八个私钥已泄露的 eMudhra 中间 CA 证书的信任。此版本从极狐GitLab 随附的证书存储中移除了对这些证书的信任。背景信息请参阅 eMudhra 的公开事件说明。

受影响版本：极狐GitLab 基础版/企业版：18.11.14 之前的所有版本、19.0.11 之前的 19.0、19.1.10 之前的 19.1、19.2.10 之前的 19.2、19.3.7 之前的 19.3、19.4.5 之前的 19.4，以及 19.5.3 之前的 19.5。

需要执行的操作：将自部署的极狐GitLab Runner 更新到 19.5.1 版本

升级极狐GitLab 不会更新极狐GitLab Runner。Runner 会自行验证证书，因此您还必须将极狐GitLab Runner 更新到版本 19.5.1，并重新构建任何包含自身 ca-certificates 软件包的 CI/CD 作业镜像。更新方法请参阅更新 Runner 页面。

需要执行的操作：将自部署的极狐GitLab AI 网关更新到 18.11.8、19.0.13、19.1.9、19.2.5、19.3.3、19.4.3、19.5.3 版本

升级极狐GitLab 不会更新极狐GitLab AI 网关。AI 网关会自行验证证书，因此您还必须将 AI 网关更新到 18.11.8、19.0.13、19.1.9、19.2.5、19.3.3、19.4.3、19.5.3 或更高版本。更新方法请参阅 AI 网关安装页面。

极狐GitLab 基础版和企业版

19.5.3

• 将 "Distrust compromised eMudhra CA certificates" 向后移植至 19.5

• 将 Go 升级至 1.27.3

• 将 "Ruby ISEQ and imemo_env Copy-on-Write GC fixes for 3.3" 向后移植至 19.5

• 向后移植 "Stop jobs without a fetch from borrowing the Git object pool" 和 "Fix downstream pipelines Git alternates"

• 将 "Geo container registry replication missing manifest" 向后移植至 19.5

• 将 "Make Rspack output independent of the checkout path" 向后移植至 19.5

• 将 "Render only first note when replying to a discussion" 向后移植至 19-5

• 将 "Support denylist filters for instance audit event streaming" 向后移植至 19.5

• 向后移植 "Build nested Jira request URLs from the configured API URL"

• 将 "Index SBOM occurrences for parent lookup in graph build" 向后移植至 19.5

• 将 "Add concurrency limit to Security::Scans::PurgeByJobIdWorker" 向后移植至 19.5

• 向后移植 "Create Geo job artifact verification state after the file is stored"

• [[19.5] 回退 Orbit 功能向后移植](https://gitlab.com/gitlab-org/gitlab/-/merge_requests/265515)

• 将 cacerts 升级至 2026-10-20

• 将 gitlab-omnibus-builder 版本升级到 5.69.1

• 向后移植 "Allow skipping the redundant Pulp CLI publish after RPM uploads"

• 向后移植 "Do not print the Pulp CLI result after RPM uploads"

• 将 "Ruby ISEQ and imemo_env Copy-on-Write GC fixes for 3.3" 向后移植至 19.5

• [[19-5] Go 1.27.3](https://gitlab.com/gitlab-org/cluster-integration/gitlab-agent/-/merge_requests/4753)

19.4.5

• 将 "Distrust compromised eMudhra CA certificates" 向后移植至 19.4

• 将 Go 升级至 1.26.10

• 将 "Ruby ISEQ and imemo_env Copy-on-Write GC fixes for 3.3" 向后移植至 19.4

• 将 "Coalesce concurrent security report ingestion per project" 向后移植至 19.4

• 将 "Render only first note when replying to a discussion" 向后移植至 19-4

• 向后移植 "Build nested Jira request URLs from the configured API URL"

• 向后移植 "'Skip conflicting inserts for finding identifiers' 19.4"

• 将 "Support denylist filters for instance audit event streaming" 向后移植至 19.4

• 向后移植 "the audit event fix from 'Count CI job tokens sent as basic auth or bearer against the job user'"

• 向后移植 "Create Geo job artifact verification state after the file is stored"

• [[19.4] 回退 Orbit 功能向后移植](https://gitlab.com/gitlab-org/gitlab/-/merge_requests/265516)

• 将 "Skip rewriting unchanged vulnerability identifiers" 向后移植至 19.4

• 向后移植 "Bump timeout of Pulp upload jobs to 2 hours"

• 将 cacerts 升级至 2026-10-20

• 将 gitlab-omnibus-builder 版本升级到 5.68.1

• 向后移植 "Allow skipping the redundant Pulp CLI publish after RPM uploads"

• 向后移植 "Do not print the Pulp CLI result after RPM uploads"

• [[19.4] 将 BUILDER_IMAGE_REVISION 升级到 5.68.2](https://gitlab.com/gitlab-org/omnibus-gitlab/-/merge_requests/9988)

• 将 "Ruby ISEQ and imemo_env Copy-on-Write GC fixes for 3.3" 向后移植至 19.4

• [[19-4] Go 1.27.3](https://gitlab.com/gitlab-org/cluster-integration/gitlab-agent/-/merge_requests/4752)

19.3.7

• 将 "Distrust compromised eMudhra CA certificates" 向后移植至 19.3

• 将 Go 升级至 1.26.10

• [[19.3-stable] 为 golang-fips 工具链强制设置 GOFIPS140=off](https://gitlab.com/gitlab-org/build/CNG/-/merge_requests/3212)

• 将 "Coalesce concurrent security report ingestion per project" 向后移植至 19.3

• 将 "Render only first note when replying to a discussion" 向后移植至 19-3

• 向后移植 "Build nested Jira request URLs from the configured API URL"

• 向后移植 "Create Geo job artifact verification state after the file is stored"

• 在 19-3-stable-ee 上将内部事件验证组件固定到 v1.1.3

• 将 cacerts 升级至 2026-10-20

• 将 gitlab-omnibus-builder 版本升级到 5.65.3

• 向后移植 "Bump timeout of Pulp upload jobs to 2 hours"

• 向后移植 "Allow skipping the redundant Pulp CLI publish after RPM uploads"

• 向后移植 "Do not print the Pulp CLI result after RPM uploads"

• [[19.3] 将 BUILDER_IMAGE_REVISION 升级到 5.65.4](https://gitlab.com/gitlab-org/omnibus-gitlab/-/merge_requests/9987)

• [[19-3] Go 1.26.10](https://gitlab.com/gitlab-org/cluster-integration/gitlab-agent/-/merge_requests/4751)

19.2.10

• 将 "Go 1.26.10 and eMudhra CA distrust" 向后移植至 19.2-stable

• 将 "Adjustments to Wiki experience" 向后移植至 19.2

• [[19.2] 为 gRPC 默认根证书使用系统 CA 证书包](https://gitlab.com/gitlab-org/gitlab/-/merge_requests/265716)

• 向后移植 "Bump timeout of Pulp upload jobs to 2 hours"

• [[19.2] 将 cacerts 升级至 2026-10-20](https://gitlab.com/gitlab-org/omnibus-gitlab/-/merge_requests/9980)

• [[19.2] 将 BUILDER_IMAGE_REVISION 升级到 5.63.4](https://gitlab.com/gitlab-org/omnibus-gitlab/-/merge_requests/9986)

• [[19-2] Go 1.26.10](https://gitlab.com/gitlab-org/cluster-integration/gitlab-agent/-/merge_requests/4750)

19.1.10

• 将 "Go 1.26.10 and eMudhra CA distrust" 向后移植至 19.1-stable

• [[19.1] 为 gRPC 默认根证书使用系统 CA 证书包](https://gitlab.com/gitlab-org/gitlab/-/merge_requests/265713)

• 向后移植 "Bump timeout of Pulp upload jobs to 2 hours"

• [[19.1] 将 BUILDER_IMAGE_REVISION 升级到 5.60.6](https://gitlab.com/gitlab-org/omnibus-gitlab/-/merge_requests/9985)

• [[19.1] 将 cacerts 升级至 2026-10-20](https://gitlab.com/gitlab-org/omnibus-gitlab/-/merge_requests/9979)

• [[19-1] Go 1.26.10](https://gitlab.com/gitlab-org/cluster-integration/gitlab-agent/-/merge_requests/4749)

19.0.11

• 将 "Go 1.26.10 and eMudhra CA distrust" 向后移植至 19.0-stable

• [[19.0] 为 gRPC 默认根证书使用系统 CA 证书包](https://gitlab.com/gitlab-org/gitlab/-/merge_requests/265711)

• 向后移植 "Bump timeout of Pulp upload jobs to 2 hours"

• [[19.0] 将 cacerts 升级至 2026-10-20](https://gitlab.com/gitlab-org/omnibus-gitlab/-/merge_requests/9978)

• [[19.0] 将 BUILDER_IMAGE_REVISION 升级到 5.60.6](https://gitlab.com/gitlab-org/omnibus-gitlab/-/merge_requests/9984)

• [[19-0] Go 1.26.10](https://gitlab.com/gitlab-org/cluster-integration/gitlab-agent/-/merge_requests/4748)

18.11.14

• 将 "Go 1.26.10 and eMudhra CA distrust" 向后移植至 18.11-stable

• [[18.11] 将 gitlab-markup 更新到 2.2.0，将 rdoc 更新到 8.1.0](https://gitlab.com/gitlab-org/gitlab/-/merge_requests/263110)

• 向后移植 "Bump timeout of Pulp upload jobs to 2 hours"

• [[18.11] 将 BUILDER_IMAGE_REVISION 升级到 5.52.2](https://gitlab.com/gitlab-org/omnibus-gitlab/-/merge_requests/9983)

• [[18.11] 将 cacerts 升级至 2026-10-20](https://gitlab.com/gitlab-org/omnibus-gitlab/-/merge_requests/9977)

• [[18-11] Go 1.26.10](https://gitlab.com/gitlab-org/cluster-integration/gitlab-agent/-/merge_requests/4747)

升级注意事项

此补丁包含数据库迁移，可能会影响您的升级过程。

对安装实例的影响

• 单节点实例：此补丁在升级期间会导致停机，因为迁移必须在极狐GitLab 启动前完成。

• 多节点实例：采用适当的零停机升级流程，此补丁可在不停机的情况下应用。

常规迁移

以下版本包含在升级过程中运行的常规迁移：

• 19.5.3

• 19.4.5

要了解升级对安装实例的影响，请参阅：

• 零停机升级（适用于多节点部署）

• 标准升级（适用于单节点安装）

更新

如需更新极狐GitLab，请查阅更新页面。

极狐GitLab 发布已跳过 19.5.2 和 19.4.4。不存在这些版本号的补丁。

极狐GitLab 订阅

对极狐GitLab 专业版和旗舰版功能的访问权限通过付费订阅授予。

或者，注册 JihuLab.com 以使用极狐GitLab 自己的基础设施。