GitLabは、Community Edition（CE）とEnterprise Edition（EE）の両方に影響する複数の脆弱性に対処する重大なセキュリティ更新をリリースしました。これには、DoS攻撃およびコードインジェクションを可能にする可能性のあるフローが含まれています。
最新のパッチバージョン18.10.3、18.9.5、および18.8.9は、合計12の脆弱性を修正します。その中には、高い重大度に分類されるものが複数あります。
GitLab.comおよびGitLab Dedicatedのユーザーは既に保護されており、対応を取る必要はありません。
CVE-2026-5173（CVSS 8.5）として追跡されている最も重大な問題は、WebSocket接続で公開されるメソッドに関わります。
この脆弱性により、認証された攻撃者がアクセス制御をバイパスし、意図しないサーバー側のメソッドを呼び出すことができます。
このような動作は、影響を受けたシステム内で不正な操作につながり、コードリポジトリとCI/CDパイプラインに深刻なリスクをもたらす可能性があります。
さらに2つの高重大度の脆弱性により、サービス拒否状態が可能になります。CVE-2026-1092はTerraform状態ロックAPIに影響し、JSON入力の不適切な検証により、攻撃者はサービス可用性を損なう悪意のあるペイロードを送信できます。
同様に、CVE-2025-12664はGraphQL APIに影響し、認証されていない攻撃者が繰り返されるリソース集約的なクエリを通じてシステムに負荷をかけることができます。
これらの他に、GitLabはデータ完全性と機密性に影響する複数の中程度の重大度のフローに対応しました。
特に、CVE-2026-1516はコード品質レポート機能内のコードインジェクション問題を公開しています。攻撃者は悪意のあるコンテンツを作成できます。それが表示される場合、ユーザーのIPアドレスを漏らす可能性があり、開発者とチームのプライバシーに関する懸念が高まります。
その他のパッチされた脆弱性には、カスタマイズ可能な分析ダッシュボード（CVE-2026-4332）でのクロスサイトスクリプティング（XSS）、CSV エクスポートを通じた情報漏露（CVE-2026-2104）、およびEnvironments API（CVE-2026-1752）でのアクセス制御の不適切な実装が含まれます。
追加のフローにより、脆弱性フラグの不正な修正またはGraphQLクエリを通じたユーザーのメールアドレスの公開が許可される可能性があります。
カスタムロール（CVE-2026-4916）での認可チェックの欠落に関する低重大度の問題も解決され、権限設定の潜在的な悪用を防ぐことができます。
これらの脆弱性はGitLabバージョンの広範囲に影響し、一部の問題は複数のメジャーリリースまで遡ります。
この広範な影響は、ソフトウェア開発ワークフローに中央集約的なプラットフォームの場合、特にシステムを最新に保つことの重要性を強調しています。
セキュリティ専門家は、パッチが適用されていないGitLabインスタンスが外部攻撃者と悪意のあるインサイダーの両方にとって魅力的なターゲットであることを強調しています。
これらのフローの悪用は、サービスの中断、不正アクセス、またはデータ漏洩につながる可能性があり、開発パイプライン全体に影響を与える可能性があります。
組織は、現在のGitLabバージョンを確認し、遅延なく最新のパッチリリースにアップグレードすることが推奨されています。
これらの更新の適用は、安全で信頼できる開発インフラストラクチャを維持するために不可欠です。
翻訳元: https://cyberpress.org/gitlab-fixes-critical-bugs/