10月12日にサーバーへパッチを適用したGitLab管理者は、再度アップデートする必要がある。以前の修正を適用した環境に、最大深刻度の脆弱性が新たに影響する。
GitLabは2026年10月21日、セルフマネージドのCommunity Edition（CE）およびEnterprise Edition（EE）に影響するリモートコード実行（RCE）脆弱性CVE-2026-110264向けのパッチをリリースした。CVSS 3.1で10.0と評価されたこの脆弱性を悪用すると、一定の条件下で認証されていない攻撃者が任意のコードを実行できる可能性がある。
9日前に修正されたCVE-2026-97229とは異なり、今回のGitLab RCE脆弱性は2014年までさかのぼるリリースに影響する。10月12日の修正を適用した組織も、再度アップデートしなければならない。
新たなGitLab RCE脆弱性、2014年までさかのぼるリリースに影響
によると、GitLabの10月21日のセキュリティアドバイザリーCVE-2026-110264は、特殊に細工された正規表現のコンパイル時に発生する整数オーバーフローに関係している。悪用に成功すると、有効な認証情報なしで影響を受けるサーバーを侵害される可能性がある。
Censysが10月22日に公開した分析は、公開プロジェクトにおけるOrg-mode (.org)ファイルのレンダリングを潜在的な攻撃経路として挙げている。悪用されると、GitLabのgitアカウント権限でコードを実行され、リポジトリやCI/CD認証情報が露出する可能性がある。
以前のCVE-2026-97229脆弱性は、CI/CD設定における正規表現の検証に関係していた。いずれの脆弱性もCVSSスコアは10.0だが、修正は別々に必要となる。19.4.2、19.3.5、19.2.8は、依然として新しい脆弱性の影響を受ける。
その他の最近のGitLabのセキュリティ問題には、8月に発見されたGraphQL脆弱性、CISAの悪用された脆弱性カタログに9月に追加された脆弱性、および10月に発見されたAI Gatewayのコマンド実行脆弱性がある。これらはそれぞれ別個のセキュリティ上の弱点に関係していた。
10月21日、Censysはインターネットから確認可能なGitLabホストを81,820台特定した。その半数以上が、7カ月以上前のリリース系列を実行していると推定されたが、脆弱または侵害されたインストールが何件あるかまでは明らかにしていない。10月22日時点で、CensysはCVE-2026-110264について、実際の攻撃での悪用を確認しておらず、公開された概念実証コードも検証できていない。
影響を受けるGitLabのバージョンとパッチ適用の指針
GitLabは、旧バージョンのCEおよびEE向けに追加された4件のバックポートを含む、7件の修正版リリースを公開した。
| 影響を受けるバージョン | 修正版バージョン |
|---|---|
| 19.5.0 | 19.5.1 |
| 19.4.3未満の19.4 | 19.4.3 |
| 19.3.6未満の19.3 | 19.3.6 |
| 19.2.9未満の19.2 | 19.2.9 |
| 19.1.9未満の19.1 | 19.1.9 |
| 19.0.10未満の19.0 | 19.0.10 |
| 7.0から18.11.12まで | 18.11.13または該当するそれ以降の修正版リリース |
古いインストール環境では、GitLabのアップグレードガイダンスに従う必要がある。一部のアップデートではデータベースのマイグレーションが必要となり、単一ノード構成のシステムではダウンタイムが発生する可能性がある。GitLab.comと、適切にパッチを適用したGitLab Dedicatedのインストール環境には、すでに修正が適用されている。
GitLabは、「Onigmo native worker crash」と「Org mode render error burst」という2件の検出ルールも公開した。CERT-EUが10月22日に公開したアドバイザリーは、インターネットに接続されたシステムを優先し、侵害の可能性を評価するよう推奨している。
セキュリティチームは、次の対策を講じるべきだ。
- 影響を受けるインストール環境を特定する：本番、開発、テスト環境全体でGitLabのバージョンを一覧化する。
- セキュリティアップデートを適用する：修正版リリースを適用し、バージョンを確認するとともに、アップグレード前にバックアップを確認する。
- 不要な露出を減らす：可能な場合は公開アクセスを制限し、機密性の高いネットワーク接続を最小限に抑える。
- 不審な活動を調査する：レンダリングエラー、予期しないプロセス、
gitアカウントの活動、SSHキーの変更を確認する。 - 侵害の可能性を評価する：認証情報、リポジトリ、パイプラインを確認する。露出したシークレットは必要に応じてローテーションする。
- インシデント対応計画をテストする：隔離、証拠保全、認証情報のローテーション、復旧手順が有効であることを確認する。
監視やアクセス制限によって露出を減らせる可能性はあるが、脆弱性をなくすことはできない。管理者は、10月上旬にアップデートしていたとしても、該当する修正版リリースを適用しなければならない。
詳しくは、悪意あるTerraformモジュールを含むCoderレジストリの侵害が、開発インフラへの攻撃によってクラウド認証情報やCI/CDシークレットが露出する可能性を示している。