GitLabは緊急のセキュリティアップデートを公開し、重大なリモートコード実行の脆弱性を修正しました。この脆弱性を悪用されると、認証されていない攻撃者が影響を受けるサーバー上で任意のコードを実行できるおそれがあります。
この脆弱性はCVE-2026-110264として追跡されています。CVSSスコアは最大値の10.0で、Community Edition(CE)とEnterprise Edition(EE)の両方に影響します。
2026年10月21日のリリースでは、7つのバージョンブランチに修正が提供されました。GitLabは、セルフマネージド環境を運用している場合は直ちにアップグレードするよう強く推奨しています。GitLab.comはすでにパッチ適用済みのバージョンで稼働しています。
この脆弱性の原因は、GitLabが特別に細工された正規表現をコンパイルする際に発生する整数オーバーフローです。特定の条件下では、攻撃者がこの処理上の欠陥を悪用し、事前の認証なしにGitLabサーバー上で任意のコードを実行できます。
GitLabはこの脆弱性に、CVSSベクターCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:Hを割り当てています。この評価は、ネットワーク経由で、低い攻撃条件の複雑さで、権限も ユーザー操作も必要とせずに攻撃が可能であることを示しています。
同社は、バグ報奨金プログラムのHackerOne経由でこの問題を報告したセキュリティ研究者のjoaxcar氏に謝意を示しています。アドバイザリーでは、完全なエクスプロイトチェーンは明らかにされておらず、実際に悪用されているかどうかも確認されていません。ただし、防御側向けの専用の検知リソースは提供されています。
影響を受けるのはGitLab 7.0まで遡る各リリースです。修正バージョンは18.11.13、19.0.10、19.1.9、19.2.9、19.3.6、19.4.3、19.5.1です。それより前の影響を受けるリリースを運用している管理者は、適切なパッチ適用済みバージョンへアップグレードする必要があります。GitLabは通常のパッチリリースに加え、この重大な修正を4つの古いブランチにも特別にバックポートしました。
セルフマネージドの利用者が悪用の試みを特定できるよう、GitLabは「Onigmo native worker crash」と「Org mode render error burst」という名称の検知ルールを公開しました。これらは調査を支援するためのものです。ただし、特定のクラッシュやレンダリングエラーが攻撃の成功を意味するとは限りません。
今回のリリースでは、深刻度8.2の認証の欠陥であるCVE-2026-15723も修正されました。OmniAuth SAMLとLDAPの自動リンク機能を同時に有効にしている場合、認証済みの攻撃者がID連携時の不適切にサニタイズされた入力を悪用し、LDAPに紐づく既存アカウントを乗っ取れる可能性があります。
もう1件の高深刻度の問題であるCVE-2026-112212は、スコアが7.5です。特定の条件下で、認証されていない攻撃者がキャッシュされたOAuth/OIDCディスカバリードキュメントを汚染できます。
悪意あるエンドポイント値により、一部の認証フローが攻撃者の管理するサーバーへリダイレクトされるおそれがあります。このほかにも、GraphQLトークンの制限、メンバーシップ制御、認証情報の漏えい、認可の弱点に関する修正が含まれています。
19.3.5-internal0および19.4.2-internal0以降を運用しているGitLab Dedicatedのテナントには、すでに修正が含まれており、対応は不要です。セルフマネージド環境では、アップグレードを計画する際にデータベースのマイグレーションを考慮する必要があります。
バージョン19.3.6と19.4.3には通常のマイグレーションが含まれています。19.4.3にはさらに、デプロイ後のマイグレーションも含まれています。
シングルノード構成では、必要なマイグレーションが完了するまでダウンタイムが発生します。適切に管理されたマルチノード構成であれば、GitLabのゼロダウンタイムアップグレード手順を利用できます。GitLabは、パッチリリースから90日後に、脆弱性の詳細な課題を公開する予定です。
1万6,000以上のSOCチームがANY.RUNを活用し、脅威調査の効率化と手作業の削減を実現しています。チームで試してみる
翻訳元: https://cyberpress.org/critical-gitlab-rce-flaw/
