GitLabは、コミュニティエディション（CE）およびエンタープライズエディション（EE）向けの最近のパッチリリース18.8.2、18.7.2、18.6.4において、二要素認証（2FA）のバイパスとサービス拒否（DoS）攻撃の両方を可能にし得る複数のセキュリティ上の欠陥に対処しました。
CVE-2026-0723として追跡されている高深刻度の欠陥は、GitLabの認証サービスにおける未チェックの戻り値に起因します。
被害者のクレデンシャルIDをすでに知っている攻撃者は、偽造したデバイス応答を送信して2FAを回避し、GitLabアカウントへ不正アクセスする可能性があります。
この問題は、GitLab CE/EE 18.6（18.6.4未満）、18.7（18.7.2未満）、18.8（18.8.2未満）に影響し、CVSSスコアは7.4です。
GitLabはまた、認証なしでリモートからのサービス拒否攻撃を可能にし得る複数の脆弱性も修正しました。
追加の中深刻度の欠陥であるCVE-2025-13335（CVSS 6.5）は、不正な形式のWikiリダイレクトにより無限ループを引き起こし、認証済みユーザーがDoS状態を作り出せる可能性があります。
単一ノードのデプロイではデータベース移行中にダウンタイムが発生する見込みですが、マルチノード環境ではゼロダウンタイム手順を利用でき、18.7.2にはデプロイ後の移行も含まれています。
ソース: cyberpress.org