GitLabは、未認証の攻撃者が遠隔からパブリックプロジェクトやユーザーデータを改ざん・削除できる重大な脆弱性を発見したとして、緊急セキュリティアップデートをリリースしました。
CVE-2026-19478として追跡されているこの脆弱性は、GitLab Community EditionおよびEnterprise Editionの複数のサポート対象バージョンに影響します。
セルフマネージド型のGitLabサーバーを運用している管理者は、特にインターネットに公開されたインスタンス、パブリックリポジトリ、外部からアクセス可能なGraphQLサービスを持つ組織に対し、直ちにアップデートを行うよう強く求められています。
GitLab Dedicatedはすでにパッチ適用済みのリリースで稼働しているため、これらのホスティングサービスを利用している顧客は特に対応する必要はありません。
同社は2026年8月17日、GitLabバージョン19.2.4、19.1.6、19.0.8、および18.11.11をリリースしました。これらのリリースは、GitLabが通常行っている月2回のセキュリティアップデートのスケジュールとは別に、臨時の重大パッチとして公開されたものです。
CVE-2026-19478は、GraphQLディレクティブに関わるコードインジェクションの問題です。特定の条件下では、この脆弱性により、遠隔から認証情報を持たないユーザーがパブリックプロジェクトやユーザーデータを改ざん・削除できる可能性があります。
この問題のCVSS深刻度スコアは10点満点中9.4と評価されており、認証情報や被害者側の操作、複雑な悪用条件を必要とせずに、完全性および可用性に大きな影響を及ぼしうることを示しています。
影響を受けるインストールには、GitLab CEおよびEEのバージョン18.2から18.11.11まで、GitLab 19.0のバージョン19.0.0から19.0.8まで、GitLab 19.1のバージョン19.1.0から19.1.6まで、そしてGitLab 19.2のバージョン19.2.0から19.2.4までが含まれます。
脆弱性のある機能が遠隔からアクセス可能である可能性があるため、GitLabをソフトウェア開発、ソースコードのホスティング、CI/CD運用、リリース管理の中核プラットフォームとして利用している組織にとって、このリスクは特に重大なものとなります。
パブリックプロジェクトのコンテンツを削除・改ざんできる攻撃者は、開発ワークフローを妨害したり、リポジトリを改ざんしたり、ドキュメントに干渉したり、コードを公開配布しているプロジェクトに下流のサプライチェーン上の懸念をもたらしたりする可能性があります。
GitLabは、GraphQLに関連するもう一つの脆弱性、CVE-2026-19650(深刻度「高」、CVSSスコア7.1)にも対応しました。これは、GraphQLマルチプレックスクエリハンドラーにおけるクロスサイトリクエストフォージェリの欠陥です。
リクエストの検証が不適切であるため、未認証のユーザーがGETリクエストを通じてミューテーションを実行できる可能性があります。
この脆弱性の悪用にはユーザーの操作が必要となるため、重大なコードインジェクションの欠陥に比べると深刻度は低くなります。しかし、標的とされたユーザーが特別に細工されたリクエストを開くよう仕向けられた場合、権限のない状態変更操作が実行される可能性は依然としてあります。
GitLabによれば、パッチ適用済みバージョンには新しいマイグレーションは含まれておらず、組織がドキュメント化されたゼロダウンタイムのアップグレード手順に従う限り、マルチノード構成のデプロイメントでダウンタイムが発生することはないとしています。
とはいえ管理者は、Omnibusパッケージのデフォルトの挙動として、特に設定を変更していない限り、アップデート時にGitLabのサービスが停止され、マイグレーションが実行された後に再起動されることを考慮しておく必要があります。
パッチ適用に加えて、防御側は監査ログやリポジトリの活動履歴を確認し、原因不明の削除、予期しないプロジェクトの変更、不審なGraphQLリクエスト、ユーザーデータの改ざん、通常とは異なるAPI活動がないかを点検すべきです。また、組織はバックアップが最新の状態であることや、アクセス制御が適切に設定されていることも確認する必要があります。
今回の一連の脆弱性は、機密性の高いプロジェクト管理操作を許可する公開インターフェースにおいて、GraphQLのリクエスト処理に欠陥があると、いかに深刻なリスクが生じうるかを浮き彫りにしています。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの可視性を完全に確保し、SOCを強化してMTTRを削減しましょう
翻訳元: https://cyberpress.org/gitlab-critical-vulnerability/
