攻撃者は認証情報もユーザーの操作も必要とせずこの脆弱性を悪用でき、セルフホスト型のコードリポジトリでサプライチェーン攻撃を引き起こす恐れがあります。
GitLabは、未認証の攻撃者がコードリポジトリ内部を不正に改ざんしたり、HTTPリクエスト一つでリポジトリを完全に削除したりできてしまう重大な脆弱性を修正しました。今回のパッチリリースでは、深刻度の高いクロスサイトリクエストフォージェリ(CSRF)の脆弱性も併せて対処されています。
この重大な脆弱性はCVE-2026-19478として追跡されており、GraphQLディレクティブを介したコードインジェクションの問題であると説明されています。この脆弱性は、GitLabのバグバウンティプログラムを通じてHackerOne経由で非公開のまま報告されていました。
しかし、脆弱性の詳細がまだ公開されていないにもかかわらず、セキュリティ企業watchTowrの研究者たちは、パッチをリバースエンジニアリングしてエクスプロイトを構築するのは極めて容易だと警告しています。
「watchTowrは、脆弱性の開示からわずか数分で、アドバイザリの詳細とパッチだけを頼りに脆弱性を再現できました」と、watchTowrのプリンシパル・セキュリティ・リサーチャーであるJake Knott氏はCSOに語っています。「AIを活用した攻撃者たちも、そう遠くない時期に同じことをしてくるでしょう」
GitLabは、CI/CDパイプラインやセキュリティスキャン機能を備えた人気の高いソースコード管理システム兼DevOpsプラットフォームです。ユーザーが自社サーバー上でセルフホストできる点が魅力で、特に組織にとってはGitHubに代わる有力な選択肢となっています。そのため同ソフトウェアは、無償のCommunity Edition(CE)と有償のEnterprise Edition(EE)の2種類で提供されています。
このコードインジェクションの脆弱性は、特にインターネットに直接公開されているGitLabインスタンスにとって非常に危険です。ソフトウェアサプライチェーン攻撃につながりかねないためです。この脆弱性を悪用すると、攻撃者はGitLabリポジトリの状態を書き換えたり、マージ記録を偽造したり、メンテナーをBANしたり、さらにはプロジェクト全体を削除したりすることが可能になります。しかもこのエクスプロイトには、認証情報もユーザーの操作も特殊な設定も一切必要ありません。
GitLabは、CVE-2026-19478と、GraphQLのマルチプレックスクエリハンドラーに存在するCSRFの問題であるCVE-2026-19650を修正するため、CEおよびEEの両エディションでバージョン19.2.4、19.1.6、19.0.8、18.11.11をリリースしました。
直ちにパッチを適用できないユーザーには、リポジトリを非公開に設定し、/api/graphqlエンドポイントへの未認証アクセスをブロックすることが推奨されています。
