Ruby 於 2026 年 10 月 23 日同步發布 3.3.13、3.4.12 與 4.0.9 三個版本，主要內容是修正 Ruby 正則表達式引擎（Onigmo）的多個錯誤——這些錯誤由 GitLab 發現，可被利用作攻擊。[1][2]
修正內容
Ruby 4.0.9 的公告指出，這個版本包含一項修正，針對 GitLab 的 CVE-2026-110264 所依賴的正則編譯錯誤。[1]
官方另有一篇專題文章說明，三個版本合共修正 Ruby 正則引擎的數個錯誤，對應 GitLab 的四個 CVE：CVE-2026-89078、CVE-2026-93577、CVE-2026-97229 與 CVE-2026-110264。[2]
三個版本
三個版本同日發布，分別由不同維護者公布：[1][3][4]
- Ruby 4.0.9（k0kubun）
- Ruby 3.4.12（nagachika）
- Ruby 3.3.13（hsbt）
官方在 4.0.9 公告中提供原始碼下載（.tar.gz、.tar.xz、.zip），並列出各自的檔案大小與 SHA1／SHA256／SHA512 校驗值；公告亦感謝眾多提交者、開發者及提供錯誤報告的使用者。[1]
對使用者的意義
由於修正涉及正則表達式編譯，而正則處理在 Ruby 應用中極為普遍（包括 Rails 路由、輸入驗證與各類解析），執行 Ruby 服務的團隊宜按自身分支排期升級。特別是自架 GitLab 的機構，較早前已因多個高危漏洞而需要緊急修補，今次 Ruby 一側的修正屬同一批問題的另一半。[1][2]
參考資料
[1] Ruby 官方 — Ruby 4.0.9 Released（2026 年 10 月 23 日）
[2] Ruby 官方 — Regexp compilation fixes related to GitLab’s CVE-2026-89078, CVE-2026-93577, CVE-2026-97229 and CVE-2026-110264
[3] Ruby 官方 — Ruby 3.4.12 Released
[4] Ruby 官方 — Ruby 3.3.13 Released