速報開発ツール

GitLab 19.5.1、CVSS 10.0のコード実行の脆弱性を修正

GitLab（ギットラボ）は2026年10月21日、CVE-2026-110264の修正版を公開しました。認証なしでセルフマネージドのサーバー上でコードを実行できる、CVSS 10.0の脆弱性です。

著者 Tech AI Wire Team

2026年10月22日3 分で読めます

X LinkedIn はてなブックマーク

他の言語で読む:原文（英語）Deutsch日本語Français Español Português

「GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13」と題したGitLab Docsのページ。サイドバーにCVEの一覧があります。

数字で見る

CVSS score of CVE-2026-110264: 10.0
vulnerabilities fixed in the release: 12
GitLab version lines patched: 7
exposed GitLab CE instances tracked by Shadowserver: 2,700+

GitLabは2026年10月21日、CVE-2026-110264の修正版を公開しました。深刻度を示すCVSSで最大の10.0と評価された脆弱性です。GitLabの正規表現コンパイラーのバグによって、アカウントを持たない攻撃者がGitLabのサーバー上でコードを実行できるおそれがありました。GitLab.comは修正済みですが、セルフマネージドの環境はすべて更新が必要です。

脆弱性の中身

正規表現とは、文章を検索して照合するためのパターンです。GitLabは、こうしたパターンを実行する前に命令へとコンパイルします。今回は、このコンパイラーで整数オーバーフローが起きます。数値が格納できる大きさを超えて桁あふれし、メモリーを壊すおそれがある現象です。

GitLabのパッチリリースによると、特別に作られた正規表現がこのオーバーフローを引き起こします。その結果、「認証されていないユーザーがGitLabサーバー上で任意のコードを実行できた可能性がある」としています。この脆弱性はCommunity EditionとEnterprise Editionの両方に影響し、GitLab 7.0までさかのぼります。

GBHackersによると、攻撃はネットワーク経由で成立し、権限もユーザーの操作も必要ありません。joaxcarという名前の研究者が、GitLabのHackerOneのバグ報奨金プログラムを通じて報告しました。実際の攻撃や公開されたエクスプロイトを報じた情報源はありません。GIGAZINEは、このバグがCISAの「悪用が確認された脆弱性」の一覧に載っていないと伝えています。

修正版のバージョン

GitLabは7つのリリース系統を一度に修正しました。

リリース系統	修正版
19.5	19.5.1
19.4	19.4.3
19.3	19.3.6
19.2	19.2.9
19.1	19.1.9
19.0	19.0.10
18.11	18.11.13

古い4系統には、CVE-2026-110264の修正がバックポートされました。GitLab Dedicatedで19.3.5-internal0、19.4.2-internal0以降を使っているテナントは、すでに修正が入っています。

ほかの11件の修正

今回のリリースでは、合計12件の脆弱性が修正されました。内訳は「緊急」1件、「高」2件、「中」5件、「低」4件です。12件すべてが19.3.6、19.4.3、19.5.1で修正されています。

「高」の2件は、シングルサインオンを使うチームに関係します。CVSS 8.2のCVE-2026-15723は、OmniAuthからLDAPへの自動連携にある認証の欠陥ですが、SAMLとLDAPの自動連携を両方有効にしている場合に限られます。CVSS 7.5のCVE-2026-112212は、OAuthとOpenID Connectのディスカバリーエンドポイントでキャッシュポイズニングを許します。

GitLabのセキュリティが立て込んだ1カ月

GitLabが10月に出した重大なパッチは、これが初めてではありません。BleepingComputerによると、その10日前にもGitLabは、CI/CDの正規表現コンパイラーにあるCVSS 10.0の別の脆弱性CVE-2026-97229について警告していました。GIGAZINEによると、10月12日のそのパッチは24件の問題に対応していましたが、そのパッチだけを当てたサーバーは今回の新しいバグの影響を受けたままです。

BleepingComputerはShadowserverの数字も引用しています。インターネットから到達できるGitLab CEのインスタンスは2,700以上あります。これは露出の数であり、確認された攻撃の数ではありません。

GitLabの勧告は率直です。「すべてのセルフマネージドのGitLab環境を、ただちにこれらのバージョンのいずれかに更新することを強く推奨します」

開発者にとっての意味

セルフホストのGitLabサーバーには、会社のソースコードとCIの秘密情報が集まっています。ログイン不要でコードを実行できるバグは、これ以上ないほど深刻です。

今日中に更新し、停止時間を計画する。 19.3.6と19.4.3にはデータベースのマイグレーションが含まれます。単一ノードの環境ではその実行中に停止が必要ですが、複数ノードの構成ではGitLabのゼロダウンタイムの手順を使えます。
古い系統から移行する。 12件すべての修正がそろうのは19.3.6以降だけです。古い18.11.13から19.2.9までの系統は、重大な脆弱性の修正として挙げられています。
攻撃の兆候を確認する。 GitLabは、セルフマネージド環境向けに2つの検知ルールonigmo_native_worker_crashとorg_mode_render_error_burstを公開しました。ログで探してください。
露出を減らす。 GitLabを公開インターネットに置く必要がないなら、VPNやシングルサインオンのゲートウェイの内側に移してください。
不安なら秘密情報を入れ替える。 侵害されたGitLabサーバーでは、CI/CDの変数やデプロイキーが漏れます。侵害の兆候が見つかったら、すべてローテーションしてください。