GitLabは、Community EditionおよびEnterprise Edition向けに重大なセキュリティアップデートをリリースしました。今回の修正は、未認証での任意ファイル読み取りや認証情報の露出、リモートコード実行につながる脆弱性に対応するものです。
セルフマネージド環境の管理者は、自身が利用しているサポート対象のリリースブランチに応じて、GitLab 19.3.2、19.2.6、19.1.8のいずれかに直ちにアップグレードする必要があります。
2026年9月10日付のパッチリリースでは、GitLab CEおよびEE全体にわたる18件のセキュリティ問題が修正されています。GitLab.comは既にパッチ適用済みのコードで稼働しており、GitLab Dedicatedの顧客側で対応が必要な作業はありません。
CVE-2026-85706は、GitLab CEおよびEEに影響するリポジトリコミットAPIのパストラバーサル脆弱性です。特定の条件下では、未認証のリモート攻撃者が脆弱なGitLabサーバーから任意のファイルを読み取れる可能性があります。
GitLabによれば、この問題は該当APIパスにおけるパス制限の不備と認証強制の欠如が組み合わさったことが原因だとしています。この脆弱性は、認証情報もユーザーの操作も必要とせず、ネットワーク経由の攻撃ベクトルを利用できる点で特に深刻です。
この欠陥を悪用した攻撃者は、アプリケーションの設定データを含む、機微なサーバー側ファイルにアクセスできる可能性があり、アクセス可能なパスに保存されている秘密情報、トークン、認証情報も対象になり得ます。
GitLabはこの問題に対してCVSSベクターAV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:Nを割り当てており、機密性および完全性への影響が高い可能性を示しています。
この欠陥は、18.7以降19.1.8未満、19.2以降19.2.6未満、19.3以降19.3.2未満の各GitLabバージョンに影響します。GitLab EEのユーザーは、GraphQLサブスクリプションシリアライザーにおける安全でないデシリアライゼーションの問題であるCVE-2026-87719にも対応する必要があります。
Duo Chatへのアクセス権を持つ認証済み攻撃者は、特別に細工したGraphQLサブスクリプション引数を使用することで、シリアライゼーション制御を回避し、サーバーオブジェクトの検索を実行できる可能性があります。
この脆弱性により、Advanced Searchインスタンスの設定情報や機微な認証情報が露出する恐れがあります。
GitLabはこの問題をCVSS 9.9と評価しており、機密性・完全性・可用性の全てにわたって高い影響が及ぶ可能性を示しています。影響を受けるEEバージョンは18.3から始まり、未修正の19.1、19.2、19.3の各リリースにまで及びます。
3つ目の注目すべき問題であるCVE-2026-88765は、GitLab EEのAdvanced Searchインデックス作成ワークフローに影響します。認証済みユーザーが、Unicode変換バッファをオーバーフローさせるよう細工した悪意あるGitプロジェクトのエクスポートファイルをインポートすることで、リモートコード実行を達成できる可能性があります。
悪用には有効な認証情報と高い攻撃複雑性が必要となるものの、悪用に成功すればGitLabホストが侵害される恐れがあります。この問題のCVSSスコアは8.5で、12.3以降のバージョンに影響します。
今回のリリースでは、CVE-2026-79708も修正されています。この脆弱性により、開発者がスケジュールされたパイプライン実行ポリシーのテストを実行し、本来はより高い権限を持つロール向けに保護されたCI/CD変数にアクセスできてしまう可能性がありました。こうした変数には、クラウドキーやデプロイ用認証情報、APIトークン、署名用シークレットが含まれることが多くあります。
その他の重大度が高い問題としては、CI/CD環境変数のスコープに関する認可の欠陥、Markdown JSONテーブルレンダラーにおけるクロスサイトスクリプティング、そして未認証でのサービス拒否攻撃を許してしまう2件のGraphQL複雑性リミッターの欠陥が挙げられます。
GitLabは、今回のパッチにはデータベースマイグレーションが含まれると警告しています。マイグレーションが完了しないとGitLabが起動しないため、シングルノード構成のデプロイメントではダウンタイムが発生します。
適切に構成されたマルチノード環境であれば、GitLabのゼロダウンタイムアップグレード手順を利用できます。また、バージョン19.3.2にはデプロイ後マイグレーションが含まれています。
管理者は、公開されているセルフマネージドインスタンスの棚卸しを行い、インターネットに公開されているシステムを優先的に対応した上で該当する修正版へアップグレードし、露出した可能性のある認証情報をローテーションするとともに、リポジトリコミット、API、GraphQLサブスクリプション、プロジェクトインポート、CI/CD関連の活動について不審なログがないか確認することが推奨されます。
16,000以上の組織から得られる最新のインテリジェンスで、脅威検知率を58%向上。SOCにTIフィードを統合しましょう
