GitLabは2026年10月12日、バージョン19.4.2、19.3.5、19.2.8をリリースし、未認証でリモートコード実行が可能になる重大な脆弱性を含む24件の脆弱性に対処しました。
今回の更新はCommunity Edition(CE)とEnterprise Edition(EE)の両方が対象で、GitLabは影響を受ける自己管理型インストールに対し、直ちにアップグレードするよう推奨しています。
この脆弱性は「CVE-2026-97229」として追跡されており、GitLabのCI/CD用正規表現コンパイラーにおける整数オーバーフローが原因です。
検証が不十分なため、特定の条件下では、未認証の攻撃者がCI/CD設定内に細工した正規表現を仕込み、サーバー側で任意のコードを実行できるおそれがあります。
CVSS 3.1のスコアは10.0です。ネットワーク経由で悪用でき、攻撃の複雑さは低く、必要な権限やユーザーの操作もありません。評価では、機密性・完全性・可用性のいずれにも高い影響が及ぶとされ、スコープの変更も伴います。
影響を受けるのは、19.2.8より前の19.2系、19.3.5より前の19.3系、19.4.2より前の19.4系です。アドバイザリでは、実際に悪用された事例には言及しておらず、完全な悪用手順も示していません。
今回のリリースで修正された脆弱性は、重大が1件、高が5件、中が14件、低が4件です。以下に示すスコアと影響を受けるエディションは、GitLabのアドバイザリに基づいています。
GitLab.comはすでにパッチが適用されており、Dedicatedの顧客は対応不要です。また、バージョン19.3.5では、Onaとの統合に起因するリグレッションの影響を受けていたマージリクエストのページも修正されています。
単一ノード構成では、データベースのマイグレーションにダウンタイムが必要です。マルチノード構成であれば、適切に管理されたアップグレードによってダウンタイムを避けられます。
一点、重要な矛盾が残っています。CVE-2026-84284では、19.3系のすべてのバージョンが影響を受けると記載されており、リリース全体のアップグレード案内と食い違っています。管理者は、詳細が明らかになるまで、19.3.5でこの問題が解消されると決めてかからないほうがよいでしょう。
1万6,000以上のSOCチームがANY.RUNを活用し、脅威調査の効率化と手作業の削減を実現しています。 チームでの導入を検討する
翻訳元: https://cyberpress.org/critical-gitlab-flaw/
