GitLab 修補 CVSS 滿分重大漏洞，公開隔天即出現漏洞探測

GitLab 修補了一個 CVSS 嚴重程度評為滿分的重大漏洞，而在漏洞資訊公開的隔天，便已偵測到針對該漏洞的探測活動。從公開到出現掃描僅隔一天，這個時間差本身就是重要的資訊。

CVSS 滿分意味著幾項條件同時成立：攻擊可透過網路遠端發動、不需要任何權限、不需要使用者互動，且對機密性、完整性與可用性造成完整衝擊。符合全部條件的漏洞相當罕見，實務上等同於攻擊者可在無前置條件下完全控制目標系統。

程式碼託管平台作為攻擊目標的價值格外高。這類系統集中存放組織的原始碼、部署腳本、CI/CD 流程設定以及各類存取憑證；一旦被攻陷，攻擊者不只取得程式碼，更可能在建置流程中植入惡意內容，使問題沿著軟體供應鏈往下游擴散。

一天內出現探測活動，反映的是漏洞武器化速度的現實。修補程式本身就是重要的情報來源——攻擊者透過比對修補前後的程式碼差異，往往能在數小時內還原漏洞的觸發條件；這使得「公開修補」與「出現攻擊」之間的窗口持續縮短。

這對防禦方的意義相當直接。以週為單位的修補排程，在這種節奏下已經不足以應對重大漏洞；而對外暴露的系統更需要區分處理——面向網際網路的服務應在數小時內完成修補，而非納入常規的維護週期。

後續觀察重點在於自架實例的修補覆蓋率。雲端託管版本由服務商統一更新，風險相對可控；而企業自行架設的實例則需由各自的維運團隊處理，這些實例往往因為版本落後或維護資源不足而長期暴露，成為實際受害的主要族群。