セキュリティ研究者らは、認証されていない攻撃者が一般公開されているプロジェクトを削除・改ざんできる恐れがあると警告しています。
セキュリティ研究者らの間で懸念が広がっています。GitLabが月曜日、深刻なコードインジェクションの脆弱性に対する緊急パッチを臨時公開したことがきっかけです。
この脆弱性はCVE-2026-19478として追跡されており、攻撃者がGraph QLディレクティブを通じて、公開プロジェクトやユーザーデータをリモートから改ざん・削除できる恐れがあります。深刻度スコアは10点満点中9.4となっています。
この脆弱性はバグ報奨金プログラムHackerOneを通じて報告されました。
脅威インテリジェンス企業のwatchTowrは火曜日、公開直後、わずか数分でこの脆弱性の再現に成功したと警告しました。研究者らによると、攻撃者はこの脆弱性を悪用することで甚大な被害をもたらす可能性があるといいます。
「今回新たに公表されたコードインジェクションの脆弱性により、認証されていない攻撃者が一般公開されているGitLabプロジェクトを削除し、その状態を書き換えることが可能になります」と、watchTowrのプリンシパル・セキュリティ研究者であるJake Knott氏は述べています。
攻撃者は、認証情報やユーザーの操作を一切必要とせず、単一のHTTPリクエストだけでリポジトリ全体の削除、マージ記録の偽造、メンテナーの締め出しといった、さまざまな悪意ある行為に及ぶ可能性があります。
Knott氏によると、インターネットに公開されているセルフホスト型のGitLabインスタンスを運用している組織は、直ちにパッチ適用済みのリリースへアップグレードすべきだといいます。すぐにアップグレードできない場合は、「api/graphql」への未認証アクセスを制限する対応が可能です。それも難しい場合の最終手段として、パブリックリポジトリへのアクセスを無効にする方法もあります。
今回のGitLabのリリースでは、クロスサイトリクエストフォージェリ(CSRF)の脆弱性であるCVE-2026-19650にも対処しています。特定の条件下では、攻撃者がGETリクエスト経由でミューテーションを実行できてしまう恐れがありました。
翻訳元: https://www.cybersecuritydive.com/news/gitlab-emergency-patch-critical-code-injection/828151/
