10月12日にサーバーへパッチを適用したGitLabの管理者は、再度アップデートする必要があります。そのときの修正版を実行しているインストール環境に、深刻度が最大の脆弱性がもう1件見つかったためです。
GitLabは2026年10月21日、リモートコード実行（RCE）の脆弱性「CVE-2026-110264」に対するパッチをリリースしました。影響を受けるのは、セルフマネージド版のCommunity Edition（CE）とEnterprise Edition（EE）です。CVSS 3.1のスコアは10.0で、特定の条件下では認証されていない攻撃者が任意のコードを実行できるおそれがあります。
9日前に修正された「CVE-2026-97229」とは異なり、今回のGitLabのRCE脆弱性は2014年までさかのぼるリリースに影響します。10月12日の修正版を導入済みの組織も、改めてアップデートしなければなりません。
新たなGitLabのRCE脆弱性、2014年までさかのぼるリリースに影響
GitLabが10月21日に公表したセキュリティアドバイザリによると、CVE-2026-110264は、特別に細工された正規表現をコンパイルする際に発生する整数オーバーフローが原因です。攻撃が成功すると、有効な認証情報がなくても、影響を受けるサーバーが侵害されるおそれがあります。
Censysが10月22日に公開した分析は、攻撃経路の可能性として、公開プロジェクトにおけるOrg-mode（.org）ファイルのレンダリングを挙げています。悪用された場合、GitLabのgitアカウント権限でコードが実行され、リポジトリやCI/CDの認証情報が漏えいするおそれがあります。
先に修正されたCVE-2026-97229は、CI/CD設定における正規表現の検証に関する問題でした。両脆弱性のCVSSスコアはいずれも10.0ですが、修正は別々に必要です。バージョン19.4.2、19.3.5、19.2.8は、新たな脆弱性の影響を受けたままです。
GitLabでは最近、ほかにもセキュリティ上の問題が相次いでいます。具体的には、8月のGraphQLの脆弱性、CISAの悪用されている脆弱性カタログに追加された9月の脆弱性、10月のAI Gatewayにおけるコマンド実行の脆弱性です。これらはいずれも、別個のセキュリティ上の弱点です。
Censysは10月21日、インターネットから確認できるGitLabホストを81,820台特定しました。半数超は、リリースから7カ月以上が経過したバージョン系列を実行しているとみられます。ただし、この調査結果から、脆弱な環境や侵害された環境の数を断定することはできません。Censysは10月22日時点で、CVE-2026-110264の悪用が実際に確認された事例や、検証済みの公開PoC（概念実証）コードは確認していません。
影響を受けるGitLabのバージョンとパッチ適用のガイダンス
GitLabは計7件の修正版をリリースしました。このうち4件は、古いCEおよびEE向けの追加バックポートです。
| 影響を受けるバージョン | 修正バージョン |
|---|---|
| 19.5.0 | 19.5.1 |
| 19.4 〜 19.4.3未満 | 19.4.3 |
| 19.3 〜 19.3.6未満 | 19.3.6 |
| 19.2 〜 19.2.9未満 | 19.2.9 |
| 19.1 〜 19.1.9未満 | 19.1.9 |
| 19.0 〜 19.0.10未満 | 19.0.10 |
| 7.0 〜 18.11.12 | 18.11.13、または該当する後続の修正版 |
古いバージョンを使用している場合は、GitLabのアップグレードガイダンスに従ってください。アップデートによってはデータベースのマイグレーションが必要で、シングルノード構成ではダウンタイムが発生する可能性があります。GitLab.comと、適切にパッチが適用されたGitLab Dedicatedには、すでに修正が反映されています。
GitLabは検知ルールも2件公開しました。「Onigmo native worker crash」と「Org mode render error burst」です。CERT-EUが10月22日に出したアドバイザリは、インターネットに公開されているシステムを優先して対処し、侵害の可能性を調べるよう推奨しています。
セキュリティチームは次の対応を取るべきです。
- 影響を受けるインストール環境の特定：本番、開発、テストの各システムで、GitLabのバージョンを棚卸しする。
- セキュリティアップデートの適用：修正版を適用し、バージョンを確認する。アップグレード前にはバックアップも点検する。
- 不要な公開の削減：可能な範囲で公開アクセスを制限し、機密性の高いネットワーク接続を絞る。
- 不審なアクティビティーの調査：レンダリングエラー、予期しないプロセス、
gitアカウントの動作、SSH鍵の変更を確認する。 - 侵害の可能性の評価：認証情報、リポジトリ、パイプラインを見直す。必要に応じて、漏えいした可能性のあるシークレットをローテーションする。
- インシデント対応計画のテスト：隔離、証拠保全、認証情報のローテーション、復旧の手順を検証する。
監視やアクセス制限で露出を減らせる可能性はありますが、脆弱性そのものがなくなるわけではありません。10月前半にアップデートした場合でも、管理者は該当する修正版を必ず適用してください。
関連記事：悪意あるTerraformモジュールを含むCoderレジストリの侵害は、開発インフラへの攻撃がクラウドの認証情報やCI/CDのシークレットを危険にさらしかねないことを示しています。
翻訳元: https://www.esecurityplanet.com/news/news-gitlab-critical-rce-patch-october/
