[セキュリティアラート] GitLab に、任意のコード実行 (RCE) を許す CVSS 10.0 の深刻な脆弱性がみつかりました #GitLab #脆弱性
GitLab社より、GitLab CE/EEにおけるCVSS 10.0（Critical）の深刻な脆弱性「CVE-2026-110264」と、その修正を含むパッチリリースが公開されました（2026年10月21日・米国時間）。
本脆弱性は、特別に細工された正規表現をコンパイルする際の整数オーバーフローにより、特定の条件下で、未認証のユーザーがGitLabサーバー上で任意のコードを実行できるおそれがあるものです。
セルフマネージド版のGitLabをご利用の方は、ご利用中のマイナーバージョン向けのパッチリリースへ、至急アップデートしてください。
※GitLab.comはすでに修正済みのため、ご対応は不要です。
影響を受けるバージョン（GitLab CE/EE）
- 19.5.1 より前の 19.5 系
- 19.4.3 より前の 19.4 系
- 19.3.6 より前の 19.3 系
- 19.2.9 より前の 19.2 系
- 19.1.9 より前の 19.1 系
- 19.0.10 より前の 19.0 系
- 7.0 以降、18.11.13 より前のすべてのバージョン
脆弱性対策済みのパッチリリース
- 19.5.1 ※
- 19.4.3 ※
- 19.3.6 ※
- 19.2.9
- 19.1.9
- 19.0.10
- 18.11.13
※本脆弱性に加え、他のセキュリティ修正やバグ修正も含まれています。
対応方法
- 18.11〜19.5 をご利用の場合：同じマイナーバージョンの上記パッチリリースへアップデートしてください。
- 18.10 以前をご利用の場合：18.11.13 以降へアップグレードしてください。
【アップデート時の注意点】
- 同じマイナーバージョン内のアップデートであれば、停止時間は通常数分程度です。
- ただし、19.4.3 と 19.3.6 にはデータベースマイグレーションが含まれるため、シングルノード構成ではデータ量によって停止時間が長くなる場合があります。
- 別のマイナーバージョンへ同時にアップグレードする場合は、アップグレードパスに従ってください。
詳細情報
本件の詳細は、GitLab社の発表記事（英文）をご参照ください。
CVE-2026-110264 - Integer Overflow issue in Regular Expression Compiler impacts GitLab CE/EE
閉域網内でGitLabをご利用の方へ
近年、VPNの突破や標的型攻撃、内部不正などによって閉域網内への侵入を許し、サイバー攻撃を受ける事例が増えています。閉域網内であっても、もはや安全とは言えません。
閉域網内でGitLabをご利用中の場合も、速やかに脆弱性対策を実施されることを強くお勧めします。
