极狐GitLab 关键补丁版本：19.5.4、19.4.6、19.3.8

2026 年 11 月 11 日，我们发布了极狐GitLab 基础版和企业版的 19.5.4、19.4.6、19.3.8 版本。

这些版本包含重要的缺陷修复和安全修复，强烈建议所有私有化部署的极狐GitLab 安装实例立即升级到上述版本之一。JihuLab.com 已在运行已修补的版本。JihuLab.com 客户无需采取任何操作。

极狐GitLab 会在补丁版本中发布漏洞修复。补丁版本分为两类：定期发布和针对高严重性漏洞的临时关键补丁。定期发布的时间通常是在每月的第二和第四个星期五。更多信息，请访问 GitLab 的发布手册和安全常见问题解答。您可以在此处查看所有 GitLab 发布博客文章。

我们致力于确保极狐GitLab 中所有面向客户开放或承载客户数据的方面都符合最高安全标准。为保持良好的安全实践，强烈建议所有客户将其使用的受支持版本升级至最新补丁版本。您可以在 GitLab 的博客文章中阅读更多保护极狐GitLab 实例的最佳实践。

建议操作

强烈建议所有运行受下述问题影响版本的安装实例尽快升级到最新版本。

如果未提及产品的特定部署类型（omnibus、源代码、helm chart 等），则表示所有类型均受影响。

关于自行编译极狐GitLab 安装实例的重要说明：CVE-2026-105437 的修复是对 Git 的补丁。官方极狐GitLab Linux 软件包和容器镜像已包含修补后的 Git。对于自行编译的安装实例，请按照更新 Gitaly的步骤操作，这些步骤会重新构建嵌入 Gitaly 的 Git 二进制文件。您还必须从匹配的 Gitaly 稳定分支重新构建 git.bin_path 在 config/gitlab.yml中引用的 Git 安装，具体说明请参见 Git。如果该 Git 来自您的发行版软件包，请将其升级到 2.56.1 或更高版本，或升级到您的发行版已针对 CVE-2026-105437 修补的版本。

安全修复

安全修复表

标题严重性CVE-2026-105437（git中的漏洞）严重

CVE-2026-105437（git中的漏洞）

此版本通过更新极狐GitLab 内置的 git 版本，解决了安全问题 CVE-2026-105437，即 git中基于堆的缓冲区溢出。该问题已在 JihuLab.com 以及极狐GitLab 基础版/企业版 19.3.8、19.4.6 和 19.5.4 中修复。

在极狐GitLab 中，在某些条件下，git中的此漏洞可能导致越界堆写入，可被用于在极狐GitLab 的 Gitaly 环境中执行任意命令。

受影响版本： 极狐GitLab 基础版/企业版：16.2 及以上且低于 19.3.8 的版本、19.4 及以上且低于 19.4.6 的版本，以及 19.5 及以上且低于 19.5.4 的版本

感谢 taise 通过 GitLab 的 HackerOne 漏洞赏金计划报告此漏洞。

缺陷修复

19.5.4

• [[19.5] 将 danger-review 组件更新至 2.2.0](https://gitlab.com/gitlab-org/build/CNG/-/merge_requests/3240)

• 将 "backup: Bump gocloud.dev to v0.47.0 for S3-compatible backup sink" 向后移植至 19-5-stable

• 将 "ci: Package on the omnibus branch matching the MR target" 向后移植至 19-5-stable

• ci：omnibus 软件包触发直接使用合并请求目标分支（19-5-stable）

• 将 "Back off StoreScansWorker retries on lease contention" 向后移植至 19.5

• 将 "Stop event purges from moving the stale scan cursor" 向后移植至 19.5

• 向后移植 "Fail closed when OpenBao login returns a non-JSON body"

• [[19.5] gRPC 默认根证书使用系统 CA 证书包](https://gitlab.com/gitlab-org/gitlab/-/merge_requests/265723)

• 恢复 recommend_reviewers的完整编码环境

• 向后移植 "Add 19.5 release note for GitLab Orbit GA"

• 向后移植 "Fail early when an API-only flow's image has no curl"

• 将 "Stop failing on stale browser console allowlist specs" 向后移植至 19.5

• 将 "Read top-level dependency ancestors from direct graph edges" 向后移植至 19.5

• 将 "Stop traversing full dependency graph on ingestion" 向后移植至 19.5

• 向后移植 "Fix use_legacy_view? for organization resource parent"

• 向后移植 "Drop stuck pages:deploy statuses when PagesWorker is exhausted"

• 将 "Fence the affected package lookup with a LATERAL join" 向后移植至 19.5

• 向后移植 "Keep the relative URL root in streamed Rapid Diffs paths"

19.4.6

• [[19.4] 将 danger-review 组件更新至 2.2.0](https://gitlab.com/gitlab-org/build/CNG/-/merge_requests/3241)

• build：在 Go 1.26 上构建 19-4-stable

• 将 "backup: Bump gocloud.dev to v0.47.0 for S3-compatible backup sink" 向后移植至 19-4-stable

• 将 "ci: Package on the omnibus branch matching the MR target" 向后移植至 19-4-stable

• ci：omnibus 软件包触发直接使用合并请求目标分支（19-4-stable）

• [[19.4] gRPC 默认根证书使用系统 CA 证书包](https://gitlab.com/gitlab-org/gitlab/-/merge_requests/265725)

• 将 "Fix state leak from language ID constraint migration specs" 向后移植至 19.4

• 将 "Batch vulnerability identifier upserts during ingestion" 向后移植至 19.4

• 将 "Add concurrency limit to Security::Scans::PurgeByJobIdWorker" 向后移植至 19.4

• 将 "Index SBOM occurrences for parent lookup in graph build" 向后移植至 19.4

• 向后移植 "Drop stuck pages:deploy statuses when PagesWorker is exhausted"

• 将 "Fence the affected package lookup with a LATERAL join" 向后移植至 19.4

• 向后移植 "Keep the relative URL root in streamed Rapid Diffs paths"

• 将 "Read top-level dependency ancestors from direct graph edges" 向后移植至 19.4

• 将 "Stop traversing full dependency graph on ingestion" 向后移植至 19.4

19.3.8

• 将 "Ruby ISEQ and imemo_env Copy-on-Write GC fixes for 3.3" 向后移植至 19.3

• [[19.3] 将 danger-review 组件更新至 2.2.0](https://gitlab.com/gitlab-org/build/CNG/-/merge_requests/3242)

• build：在 Go 1.26 上构建 19-3-stable

• 将 "ci: Package on the omnibus branch matching the MR target" 向后移植至 19-3-stable

• ci：omnibus 软件包触发直接使用合并请求目标分支（19-3-stable）

• 将 "backup: Bump gocloud.dev to v0.47.0 for S3-compatible backup sink" 向后移植至 19-3-stable

• 将 "Skip rewriting unchanged vulnerability identifiers" 向后移植至 19.3

• 将 "Fix state leak from language ID constraint migration specs" 向后移植至 19.3

• [[19.3] gRPC 默认根证书使用系统 CA 证书包](https://gitlab.com/gitlab-org/gitlab/-/merge_requests/265718)

• 将 "Skip conflicting inserts for finding identifiers" 向后移植至 19.3

• 将 "Batch vulnerability identifier upserts during ingestion" 向后移植至 19.3

• 将 "the audit event fix from 'Count CI job tokens sent as basic auth or bearer against the job user'" 向后移植至 19.3

• 将 "Remove unnecessary committer batch-load from mergeability fields" 向后移植至 19.3

• 将 "Ruby ISEQ and imemo_env Copy-on-Write GC fixes for 3.3" 向后移植至 19.3

升级重要说明

这些版本不包含任何新的迁移，对于多节点部署，应无需任何停机时间。

请注意，默认情况下，无论升级"大"还是"小"，Omnibus 软件包都会停止、运行迁移，然后再次启动。此行为可以通过添加 /etc/gitlab/skip-auto-reconfigure 文件来更改，该文件仅用于升级。

更新

如需更新极狐GitLab，请查阅更新页面。

极狐GitLab 订阅

访问极狐GitLab 专业版和旗舰版功能需要付费订阅。

或者，注册 JihuLab.com 以使用极狐GitLab 自己的基础设施。