CVE-2026-97229：GitLab CI/CD 正则编译器整数溢出致未认证 RCE
GitLab 于 10 月 8 日发布紧急补丁 19.4.2、19.3.4、19.2.8，修复 CVE-2026-97229——CI/CD 正则编译器整数溢出，未认证即可在自建服务器执行任意代码，CVSS 满分 10.0。
CI/CD
Mini Shai-Hulud 复活：GitHub Actions 恶意标签再投毒约 1.5 万仓库
两个 GitHub Actions 于 9 月 16 日被维护者重新启用但未清理 5 月投毒内容，版本标签仍指向恶意提交，导致依赖它们的约 1.5 万个仓库工作流继续下载并执行窃密载荷，9 月 25 日才再次被禁用。
CVE-2026-93577：GitLab CI/CD 正则触发远程代码执行漏洞预警
GitLab 发布 19.4.1、19.3.3 与 19.2.7，修复两个 CVSS 9.9 严重缺陷：正则解析器双重释放与正则编译器整数溢出。任意已登录用户只要在 CI/CD 配置中放入特制正则，即可在服务器上执行任意代码。
JetBrains 确认 Cadence 云服务遭入侵：TeamCity 零日 CVE-2026-63077 被用于攻击自家基础设施
JetBrains 8 月 23 日发现其 Cadence 云环境遭入侵，攻击者利用 CVSS 9.8 的 TeamCity 未认证 RCE 漏洞 CVE-2026-63077，窃取 AWS 凭据并触及含用户数据的 S3 存储与源代码。