GitLabに緊急パッチ　CVSS 10.0のコード実行を修正、セルフマネージドは更新を

GitLabに緊急パッチ　CVSS 10.0のコード実行を修正、セルフマネージドは更新を ITニュース

GitLab は2026年10月21日、CVSS 10.0 のコード実行の脆弱性を含む12件を修正した緊急パッチ「Critical Patch Release」を公開しました。自社のサーバーで GitLab を動かしている（セルフマネージド）なら、まず自分の環境のバージョンを確認したい話です。

結論から言うと、セルフマネージドの GitLab は、19.5.1・19.4.3・19.3.6・19.2.9・19.1.9・19.0.10・18.11.13 のいずれかへ「immediately（直ちに）」更新するよう、公式が強く推奨しています。 GitLab 公式のインストール案内はGitLab のインストール（公式）にあります。

運用形態 公式の案内
セルフマネージド（CE/EE） 上の7バージョンのいずれかへ直ちに更新
GitLab.com すでにパッチ適用済み
GitLab Dedicated 19.3.5-internal0 / 19.4.2-internal0 以降のテナントは修正済みで、対応は不要

GitLab の緊急パッチで何が修正されたか

出典は、GitLab 公式の告知「GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13」（2026年10月21日）です。修正は12件で、深刻度の内訳は Critical が1件、High が2件、Medium が5件、Low が4件です。

GitLab は、定期パッチを毎月第2・第4水曜に出し、深刻度の高い脆弱性には臨時の緊急パッチを出すと説明しています。今回は後者にあたります。

CVSS 10.0 の脆弱性（CVE-2026-110264）

いちばん重いのが、正規表現コンパイラの整数オーバーフロー（CVE-2026-110264、Critical）です。公式は、特定の条件下で、認証していないユーザーが GitLab サーバー上で任意のコードを実行できた可能性があると説明しています。

項目 公式の記載
CVSS 10.0（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H）
影響を受ける版（CE/EE） 7.0 以降の 18.11.13 未満、19.0 は 19.0.10 未満、19.1 は 19.1.9 未満、19.2 は 19.2.9 未満、19.3 は 19.3.6 未満、19.4 は 19.4.3 未満、19.5 は 19.5.1 未満
特別な扱い 通常のパッチに加えて、18.11.13・19.0.10・19.1.9・19.2.9 へバックポート
報告者 joaxcar さん（HackerOne のバグ報奨金プログラム経由）

CVSS のベクターを読むと、ネットワーク経由（AV:N）で、認証不要（PR:N）、ユーザーの操作も不要（UI:N）という評価です。

公式は、セルフマネージド向けに脅威検知を2つ公開しています。「Onigmo native worker crash」と「Org mode render error burst」です。この脆弱性を狙った試行を見つける手がかりとして案内されています。ただし、実際に悪用が確認されたかどうかは、公式の告知に記載がありません。

High の2件と、そのほかの修正

High は2件あります。

CVE 深刻度 内容（公式の概要） 影響を受ける版（CE/EE）
CVE-2026-15723 High（CVSS 8.2） OmniAuth の SAML と LDAP の自動リンクが両方有効なとき、認証済みのユーザーが既存の LDAP アカウントを乗っ取れた可能性 10.1 以降の 19.3.6 未満、19.4 は 19.4.3 未満、19.5 は 19.5.1 未満
CVE-2026-112212 High（CVSS 7.5） OAuth/OIDC のディスカバリーエンドポイントのキャッシュポイズニング。特定条件下で、認証していないユーザーが特定のフローを外部管理のサーバーへ向けられた可能性（GitLab 社内で発見） 18.3 以降の 19.3.6 未満、19.4 は 19.4.3 未満、19.5 は 19.5.1 未満

Medium は5件です。

  • CVE-2026-12664（6.8）: GraphQL の作業項目のメール欄。CE/EE
  • CVE-2026-16255（5.9）: SAML/LDAP のメンバーシップロックの不完全な適用。EE のみ
  • CVE-2026-105777（4.3）: 内部レスポンスヘッダーによる内部認証情報の露出。CE/EE
  • CVE-2026-13319（4.3）: グループマイルストーン API の認可回避。CE/EE
  • CVE-2026-112378（4.3）: AI Gateway の機能有効化ヘッダー。EE のみ

Low は4件です。

  • CVE-2026-105711（3.5）: マージリクエストのタイトル描画のキャッシュ。CE/EE
  • CVE-2026-14288（3.1）: マージリクエストの承認ポリシー。EE
  • CVE-2026-112326（3.1）: 読み取り専用のユーザーが脆弱性レコードを削除できた。EE
  • CVE-2026-103515（2.7）: 管理者がグループ単位で Duo の利用可否をロックしたとき、グループ Owner が外部サービスへの AI 連携のデータ送出を再び有効にできた可能性（公式の題名は Amazon Q の設定に関するもの）。EE

SAML や LDAP でログインを組んでいる環境は、High の CVE-2026-15723 が自分の構成に当てはまるかも見ておきたいところです。各脆弱性の課題は、修正を含むリリースの90日後に公開されると公式は書いています。

更新で気をつけたいこと

このパッチにはデータベースのマイグレーションが含まれます。公式の記載をまとめると、こうなります。

項目 内容
通常のマイグレーション 19.4.3 と 19.3.6
post-deploy マイグレーション 19.4.3
単一ノード構成 マイグレーションが終わるまで GitLab が起動せず、更新中はダウンタイムが発生
複数ノード構成 ゼロダウンタイムの手順に沿えば、ダウンタイムなしで適用可能

単一ノードの環境は、止まる時間が出る前提で、利用者への連絡と作業時間の確保を先に済ませておくのが安全です。

まずやっておきたいこと

  1. 自分の GitLab のバージョンを確認する。上の影響を受ける版の表に当てはまるか見る
  2. 同じ系列の修正版（19.5 なら 19.5.1、19.4 なら 19.4.3 など）へ更新する計画を立てる。18.11 より前の版は 18.11.13 以降へ
  3. 単一ノードなら、ダウンタイムの時間帯と連絡先を決める
  4. GitLab Runner を使っているなら、公式が案内する Runner の更新ページも確認する
  5. SAML や LDAP を使っているなら、CVE-2026-15723 の条件に当てはまるか見る

更新の手順は、公式のGitLab のアップグレード手順（公式ドキュメント）に従います。更新前のバックアップについては、今回の告知には記載がありません。更新ページで確認してから進めてください。

まとめ

  • GitLab は2026年10月21日、CE/EE の7バージョンを公開し、12件の脆弱性を修正した
  • いちばん重いのは CVSS 10.0（Critical）の CVE-2026-110264。特定条件下で、認証していないユーザーが GitLab サーバー上で任意のコードを実行できた可能性がある
  • セルフマネージドは、公式が直ちに更新するよう強く推奨。GitLab.com は適用済みで、Dedicated も対象バージョンのテナントは対応不要
  • 単一ノード構成は更新中に GitLab が起動しない時間が出る。更新前に作業時間を確保しておく

2026年10月21日の公式告知にもとづく情報です。ほかの IT の話題は、当ブログの技術ネタカテゴリーからどうぞ。

ITもごはんも、腹八分目が長続きのコツ！

コメント