GitLab、認証不要のコード実行につながる脆弱性を修正―旧系列にも更新

GitLabは2026年10月21日、CE・EEの重大な脆弱性CVE-2026-110264を修正した更新を公開しました。特定の条件で、ログインしていない攻撃者がサーバー上で任意のコードを実行できるおそれがあります。深刻度はCVSS 3.1で最大の10.0です。

原因は、細工された正規表現を処理用の形式に変換する際の整数オーバーフローです。対象は7.0以降の広い範囲に及びますが、公表文は攻撃の成立条件を詳しく説明していません。脆弱性によって可能な操作と、実際に侵害された事例は分けて捉える必要があります。

修正版は19.5.1、19.4.3、19.3.6、19.2.9、19.1.9、19.0.10、18.11.13です。GitLabは自社運用の環境に速やかな更新を求めています。GitLab.comは対応済みで、GitLab Dedicatedも指定された内部リリース以降には修正が含まれています。

運用担当者は利用系列と修正版を照合し、更新に伴う停止も確認してください。19.4.3と19.3.6にはデータベースの移行処理があり、単一ノード構成では更新中に停止が発生します。提供元は攻撃の試みを調べるための検知ルールも公開しており、更新手順と併せて案内しています。