GitHub Enterprise Server、HighのCVE-2026-104608・CVE-2026-15343を修正―SSH経由のコード実行とDependabot
11月3日の更新でGitサービスの解放後使用と、Dependabotの不完全だった修正に対応。既に夏の更新を適用した環境も再確認が必要です。
修正版公開日：2026-11-03 / 公開： / 更新： / 最終確認：
Codingholic 編集部 · 約3分
GitHubは2026年11月3日、Enterprise Serverのセキュリティ更新を公開しました。CVE-2026-104608とCVE-2026-15343はともにHighで、GitHubのCVSS v4.0評価はそれぞれ7.7と8.6。修正版は3.19.14、3.20.10、3.21.8、3.22.3です。GitHub.comではなく、自社で運用するEnterprise Serverの管理者が確認する更新です。
CVE-2026-104608はGitサービスbabeldのSSH処理で起きる解放後使用です。インスタンスのアカウントとSSHアクセスを持つ攻撃者が、babeldの権限でコマンドを実行し、環境内の秘密情報を取得するおそれがあります。悪用にはビルドごとのメモリ位置の把握が必要で、失敗するとサービスが異常終了します。
CVE-2026-15343はDependabot updaterコンテナ内でコードを実行できる攻撃者が、リポジトリの任意パスにファイルを書き込める問題です。workflows: write権限があるとActionsのワークフローも対象となり、リポジトリの権限や実行設定次第ではActionsの秘密情報に到達します。
後者は7月に初めて公表された問題で、今回の新情報は初回修正が不完全だったことと、その追加修正です。以前の3.21.3、3.20.5、3.19.9などを適用済みでも対処完了とは判断できません。サポートされる系列の修正版へ更新し、Dependabotの権限と変更されたワークフローも点検してください。公式情報は攻撃の成立条件を説明していますが、実被害の確認は記載していません。
出典と編集について
GitHub：GitHub Enterprise Server 3.22.3 release notes ↗GitHub：CVE-2026-104608の評価・修正版 ↗
GitHub：CVE-2026-15343の初回公表日と不完全修正の説明 ↗
本記事は公表資料に基づく速報です。判明した範囲を記載しており、続報で内容が変わる場合があります。