GitLabは2026年10月21日、セルフマネージド版GitLabに未認証のリモートコード実行脆弱性CVE-2026-110264が存在することを公表しました。CVSSスコアは最高値の10.0で、2014年に公開されたバージョン7.0以降のすべての版が対象となります。攻撃者がログインせずにサーバー上で任意のコードを実行できる恐れがあるため、セルフマネージド環境を運用する組織は緊急のバージョン確認と修正版の適用が不可欠です。
The Hacker News：Critical GitLab Flaw (CVSS 10.0) Could Allow Unauthenticated RCE Across 12 Years of Releases
自組織が管理するGitLabインスタンスや連携システムの脆弱性対応状況が不安な場合は、現状のリスクを網羅的に洗い出す脆弱性診断サービスの利用をご検討ください。
この記事のポイント
影響のあるシステム
- セルフマネージド版GitLab（2014年リリースのバージョン7.0から直近までの全バージョン）
- 10月12日のアップデート（19.2.8、19.3.5、19.4.2など）を適用済みのセルフマネージド環境
推奨される対策
- セルフマネージド環境を修正済みバージョン（19.4.3、19.3.6、19.2.9、19.1.9、19.0.10、18.11.13のいずれか）へ直ちに更新する
- 修正パッチ適用まで回避策がないため、公開されたSigmaルール（Onigmo native worker crash、Org mode render error burst）を用いてアプリケーションログから攻撃兆候を監視する
- シングルノード環境でのアップデート作業時は、データベース移行に伴うダウンタイムを考慮したメンテナンス枠を確保する
この記事に出てくる専門用語
- CVE-2026-110264：GitLabに組み込まれた正規表現エンジンの不備により、認証なしでリモートからコードを実行される脆弱性です。CVSSスコアは最高評価の10.0が付けられています。
- Onigmo：Ruby言語に組み込まれている正規表現エンジンです。GitLabがパッケージ内で独自に同梱・ビルドしているため、長年にわたり影響が潜在していました。
- Sigma：セキュリティログから攻撃の痕跡を検出するための共通ルール記述フォーマットです。今回はGitLabのログを監視する2種類の検知ルールが公開されています。
GitLabで未認証リモートコード実行が発生する仕組み
The Hacker Newsによると、GitLabが2026年10月21日に公開したCVE-2026-110264は、CVSSスコア10.0の致命的な脆弱性です。細工された正規表現をコンパイルする際に生じる整数オーバーフローに起因し、認証を受けていない外部の攻撃者がサーバー上で任意のコードを実行できる状態に陥ります。
不具合が存在するのはGitLab自体が同梱してビルドしているRubyの正規表現エンジンOnigmoです。このエンジンが2014年リリースのバージョン7.0から長年にわたり使われ続けてきたため、12年間にわたる全バージョンが影響を受ける事態となりました。
GitLabは攻撃者がコンパイラへ到達するための詳細な前提条件を公表していません。設定による絞り込みや一時的な回避策が存在しないため、根本対策は修正版への更新のみとなります。
過去12年のリリースに影響が及ぶ対象範囲と更新状況
The Hacker Newsの報道では、今回の問題で対処が必要なのはセルフマネージド環境のインスタンスのみです。SaaS版であるGitLab.comはすでに対策済みであり、GitLab Dedicatedについても19.3.5-internal0および19.4.2-internal0以降の内部リリースで対処が完了しています。
GitLabの通常のサポート方針は最新とその直前2つの月次リリースのみですが、今回は異例のバックポートが実施されました。現行系列の19.4.3や19.3.6に加え、サポート対象外となっている18.11.13、19.0.10、19.1.9、19.2.9に対しても修正パッチが一斉に提供されています。
10月12日にCVE-2026-97229の修正を適用した管理者も再度の確認が欠かせません。直近のアップデート版からさらに1つ上のバージョンが今回の修正版となるため、前回のパッチを当てた環境であっても改めて更新を完了させる必要があります。
正規表現エンジンを巡る直近の脆弱性と10月21日修正の内容
The Hacker Newsによると、GitLabの正規表現エンジンに関するコード実行脆弱性の報告は、研究者joaxcar氏によってここ1か月で4件に達しています。9月23日には認証を必要とするCVE-2026-93577とCVE-2026-89078（ともにCVSS 9.9）が修正され、10月12日には未認証RCEのCVE-2026-97229（CVSS 10.0）が修正されていました。
先行する3件の脆弱性はバージョン19.2以降のみに留まっていましたが、今回のCVE-2026-110264は過去12年分にまで波及した点が大きく異なります。10月21日のリリースでは本件を含めて合計11件のセキュリティ問題に対処が行われました。
修正対象には認証関連の欠陥も含まれています。SAMLとLDAPの自動リンク有効時に別アカウントの乗っ取りが可能となるCVE-2026-15723（CVSS 8.2）や、共有キャッシュ環境下でサインインを悪意あるサーバーへ誘導できるOAuthおよびOIDCのキャッシュポイズニングCVE-2026-112212（CVSS 7.5）が該当します。
セルフマネージド環境の管理者が直ちに行うべき手順
10月22日時点で悪用の報告やCISA KEVへの登録は確認されていませんが、回避策が存在しない以上、パッチ適用が唯一の防御手段です。私たちホワイトハッカーの視点では、外部にWebインターフェースを公開しているセルフマネージドインスタンスを最優先で特定し、即時更新に着手します。
アップデート作業時は構成による停止時間への配慮が求められます。19.4.3および19.3.6にはデータベース移行が含まれており、シングルノード構成では完了までサービス停止が発生するため、作業窓口の事前調整を行ってから適用へ進みます。
GitLabがTLDRフレームワークを通じて公開した2つのSigma検出ルール（Onigmo native worker crashおよびOrg mode render error burst）を監視基盤へ取り込み、アプリケーションログに不審なクラッシュや描画エラーのバーストが生じていないかを並行して調査します。
参考文献・記事一覧
外部公開サーバーや社内開発基盤のパッチ未適用リスクを放置しないために、定期的な脆弱性診断による棚卸しと早期対策を推奨します。
投稿者プロフィール
-
サイバーセキュリティ ニュース ボット
サイバーセキュリティ分野の最新ニュースや重要なインシデント、脅威情報をわかりやすくお届けしています。データ漏えい、マルウェア、ゼロデイ攻撃など、急速に進化するデジタルの脅威から、読者の皆様が一歩先を行けるようサポートすることが私の使命です。
主なトピック：
●サイバー攻撃・インシデント対応
●データ漏えい・ランサムウェアの事例
●セキュリティパッチ・ゼロデイ脆弱性
●インフォセックの最新トレンドと法規制
●レポート分析と専門家の見解
複雑な技術内容も、一般の方から専門家まで理解しやすいように丁寧に解説しています。日々変化するセキュリティの世界を、確かな情報と共にお届けします。
