GitLabがCVSS 10.0の認証不要RCEを修正｜本体更新と認証連携を確認する

GitLabは2026年10月21日、Community Edition（CE）とEnterprise Edition（EE）向けの緊急パッチを公開しました。最優先で確認したいのは、認証されていない利用者による任意コード実行につながるCVE-2026-110264です。提供元の評価はCVSS v3.1で10.0。自社運用のGitLabは、PHPの緊急更新とは別の対応対象になります。

GitLab公式のパッチ告知は、自主管理環境の即時更新を強く推奨しています。GitLab.comは修正済みで、GitLab Dedicatedについても所定の内部バージョン以降には修正が含まれると説明しています。自社の利用形態と稼働版を先に特定してください。

本稿は10月22日に確認した一次資料に基づくニュースです。攻撃の再現試験や独自の被害調査は行っていません。以下の作業順、復旧確認、調査項目は本サイトの運用提案であり、提供元が公表した影響条件と区別して示します。

正規表現のコンパイルがコード実行の入口になる

GitLabの説明によると、CVE-2026-110264は正規表現コンパイラーの整数オーバーフローに関係します。特定の条件で、細工された正規表現のコンパイルを通じ、認証なしにGitLabサーバー上で任意のコードを実行できる可能性があります。ログイン画面の存在だけでは、対応不要と判断できません。

ここでいう問題は、正規表現の計算時間が増える一般的なReDoSとは影響が異なります。公式は任意コード実行の可能性を示しているため、「検索が遅くなるだけ」と扱わないでください。一方、すべての文字列入力がそのまま攻撃経路になると断定することもできません。未公表の詳細な成立経路や攻撃用文字列は推測しません。

GitLabにはソースコード、課題、CI/CDの設定、ビルド成果物などが集まります。サーバーで意図しない処理が動いた場合、自社の構成に応じて調査対象が開発・配布の流れへ広がり得ます。これは影響評価上の提案であり、今回すべての利用組織で認証情報や成果物が流出したという意味ではありません。

修正された七つの系列を確認する

今回のRCE修正は通常の対象系列に加え、旧系列にもバックポートされています。対象バージョンと、同じ系列でこの問題の修正を含む最小バージョンは次のとおりです。以下はCVE-2026-110264の範囲であり、同梱された全脆弱性の修正範囲が同一という意味ではありません。

利用系列	RCE修正を含む版
19.5	19.5.1
19.4	19.4.3
19.3	19.3.6
19.2	19.2.9
19.1	19.1.9
19.0	19.0.10
18.11	18.11.13

公式は影響範囲を7.0以降の広い範囲として列挙しています。表に載っていない旧版を使っている場合、「修正の一覧にないから影響しない」と読まないでください。更新経路と必要な中継バージョンを確認し、保守可能な系列へ進める必要があります。大きく版を飛ばしてよいという告知ではありません。

また、10月12日の19.4.2などを適用済みでも、今回の19.4.3の確認は必要です。異なるCVEを同じ「10月のGitLab修正」として管理すると、前回の対応完了が新しい更新の見落としにつながります。台帳にはCVE番号、修正系列、稼働版、適用日時を別々に記録する方法を勧めます。

SaaSと自社運用では作業の担当が変わる

GitLab.comについては提供元が修正済みとしています。Dedicatedは19.3.5-internal0、19.4.2-internal0以降を稼働するテナントに修正が含まれ、利用者側の操作は不要と説明しています。画面上の数字を自社運用版の表だけで比較せず、Dedicatedに対する案内を照合してください。

Self-Managedでは、自社サーバーにLinuxパッケージを導入した構成だけでなく、コンテナ、Helmチャート、ソースから導入した構成も棚卸し対象です。公式告知は、特定の導入方式を限定していない問題は全方式が対象と説明しています。インストールした方式と更新手順をセットで把握する必要があります。

委託運用の場合も、確認するのは「対応済み」という一言だけではありません。利用系列、変更後の版、各ノードへの反映、確認日時、残る作業を尋ねます。GitLab Runner、AI Gateway、GitLab本体は更新対象を混同しやすい別コンポーネントです。本サイトの既存記事で扱ったAI Gatewayの修正だけでは、本体の修正確認を代替できません。

同時に修正された認証連携も点検する

今回のパッチにはRCE以外の修正も含まれます。CVE-2026-15723では、OmniAuth SAMLとLDAPの自動リンクを両方有効にしている場合、認証済みの利用者が既存のLDAP連携アカウントを乗っ取れる可能性が説明されています。提供元のCVSS v3.1評価は8.2です。該当する認証構成を使う組織は、RCEと別の確認項目にしてください。

CVE-2026-112212はOAuth/OIDCのディスカバリー応答に関する共有キャッシュ汚染で、評価は7.5です。特定条件で、認証なしの利用者が応答内のエンドポイントURLへ影響し、一部のフローを外部管理のサーバーへ向けられる可能性があります。外部認証連携を使う構成では、更新後に通常のログインとディスカバリー応答の内容も確認することを提案します。

これら二つの問題について公式が示す修正版は19.3.6、19.4.3、19.5.1です。18.11.13などのRCE向けバックポートを入れたことだけで、今回の全修正が反映されたと報告しないでください。どのCVEをどの版で解消したかを整理することが、短期の封じ込めと通常保守への復帰を両立する判断材料になります。

更新経路と停止計画を先に決める

GitLabの更新経路ドキュメントは、必要な中継バージョンへの更新とバックグラウンドマイグレーションの完了を求めています。長期間更新していない環境では、最終版のパッケージを一度入れれば完了するとは限りません。現在版、目標版、必須の停止点を確認して作業を組みます。

本サイトでは、まずバックアップと復旧手順、必要な設定・秘密情報の保管、空き容量、実行中ジョブ、作業者の管理権限を確認することを勧めます。通常のバックアップ取得が成功した記録だけでなく、その版へ戻す場合のデータベースやリポジトリーの整合性も検討してください。脆弱な版へ戻す判断には、外部からの到達制限を合わせて考える必要があります。

今回の告知にはデータベースマイグレーションへの注意もあります。19.3.6と19.4.3には通常のマイグレーション、19.4.3には配備後のマイグレーションが含まれます。提供元は単一ノードで更新時の停止が発生すると説明しているため、関係者に停止時間帯と再開確認の担当を伝えてください。

複数ノード構成では、更新済みノードと旧版ノードが混在していないかを確認します。公式の無停止更新手順にも、Linuxパッケージ構成、ロードバランサー、可用性機構などの前提があります。単一ノードや任意のコンテナ構成に同じ手順を当てはめ、停止なしを保証しないでください。

検知情報の公開は悪用成功の証明ではない

GitLabは今回、OnigmoのネイティブワーカーのクラッシュとOrg mode描画エラーの急増に関する二つの検知情報を案内しています。公式告知からリンクをたどり、自社のログ形式と保存範囲に適用できるかを確認してください。本稿ではリンク先の詳細ルールを独自に検証できていないため、特定のしきい値や検索式は転載しません。

本稿で直接確認した公式告知には、CVE-2026-110264による実環境の侵害成功を断定できる記載は見当たりません。検知ルールの存在、攻撃実証、攻撃試行、侵害成功は異なる情報です。悪用状況は未確認として扱いつつ、最大評価の認証不要RCEとして更新を急ぐ判断は可能です。

運用上は、通常より増えた描画エラーやプロセス終了を、アクセス、ジョブ実行、権限変更の履歴と関連付けることを提案します。異常がなかった場合も、ログが残っていない期間や対象外のノードがないかを記録します。調査の限界を残すことで、後から提供元の追加情報が出た際に再確認できます。

更新後は開発と配布の経路を通して確認する

適用確認はログイン画面だけで終えず、Git cloneとpush、課題やマージリクエストの表示、通常のCIジョブ、成果物の取得まで、実際に使う経路を通します。これは本サイトの検証提案です。成功確認には検証用プロジェクトを使い、本番への意図しないデプロイが走らないように実行対象を限定してください。

侵害が疑われる場合は、更新と調査を並行し、不審なジョブ、Runner登録、アクセストークン、権限変更、成果物の差し替えも確認対象にします。資格情報の露出を確認した場合は、利用先の特定と失効・差し替えが必要です。コードやログから文字列を消しただけで、その資格情報が使えなくなったとは扱えません。

今回の更新で特に重要なのは、本体のRCE対応を急ぎつつ、認証連携の修正と旧系列へのバックポートの範囲を読み分けることです。PHP対応の最中でも、開発基盤の更新責任者へ独立した作業として割り当て、修正後の稼働版と確認した機能まで記録してください。

関連記事

• GitLab AI Gatewayの重大な修正で確認したい本体とは別の更新対象
• 漏えいしたAPIキーは削除だけで大丈夫？AI開発での失効と差し替えの手順