GitLabはCEとEE向けに緊急修正版を公開しました。最大深刻度はCVSS 10.0で、条件次第で未認証者による任意コード実行の恐れがあります。自社運用環境は即時更新が推奨され、GitLab管理インフラは修正済みです。導入形態と版ごとの確認点を整理します。
この記事のまとめ
GitLabは2026年10月21日、CEとEE向けに緊急修正版を公開しました。セキュリティ修正は12件で、条件次第ではログインしていない利用者に任意のコードを実行される恐れがあります。自社で管理・運用するセルフマネージド環境には、修正版への即時更新を強く推奨しています。
公開された修正版は19.5.1、19.4.3、19.3.6です。旧系列にも19.2.9、19.1.9、19.0.10、18.11.13が用意されました。情シスは製品名だけでなく、利用中の系列と末尾まで含めた版番号を確認する必要があります。
GitLab.comとGitLab Dedicatedを含むGitLab管理インフラは修正済みと発表されています。自社で更新作業を担うセルフマネージド環境と、GitLabが管理する環境を分けて対応を判断してください。
日本での提供は発表には書かれていません。
修正12件のうち、深刻度がCriticalのものは1件、Highは2件です。最も深刻なCVE-2026-110264は、正規表現コンパイラーの整数オーバーフローです。これは数値の処理が扱える範囲を超える不具合で、GitLab評価のCVSSは10.0です。CVSSは脆弱性の深刻度を示す指標です。
GitLabによると、この脆弱性は条件次第で未認証ユーザーによる任意コード実行につながる恐れがあります。対象はCE・EEの7.0以降18.11.13未満に加え、19.0系列では19.0.10未満、19.1系列では19.1.9未満です。19.2系列は19.2.9未満、19.3系列は19.3.6未満、19.4系列は19.4.3未満、19.5系列は19.5.1未満が対象です。
HighのCVE-2026-15723は、外部認証に使うOmniAuthと、利用者情報の管理に使うLDAPの自動連携に関する認証不備です。OmniAuth SAMLとLDAP自動連携の両方が有効な場合、認証済みユーザーが対象者の操作なしにLDAPアカウントを奪う恐れがあります。GitLab評価のCVSSは8.2です。
もう1件のHigh、CVE-2026-112212は、認証連携に使うOAuth/OIDCの検出エンドポイントにおけるキャッシュ汚染です。条件次第で未認証者が共有キャッシュの内容を不正に変え、一部処理を外部へ誘導する恐れがあります。GitLab評価のCVSSは7.5です。このHighの2件は、19.3.6、19.4.3、19.5.1で修正されています。
GitLabは最も深刻な脆弱性について、悪用試行を見つけるための検知をセルフマネージド環境向けに2件公開しています。検知の公開だけで、自社での悪用の有無を判断することはできません。
このニュースは、公式発表と報道をもとに AI を使って作成し、出典と照らして確かめています。まちがいに気づいたら直し、更新日を改めます。
チェック済み。この記事は監修者によってチェックされました。(2026年10月22日)
執筆
情シスのミカタ編集部AIにより執筆
書いた AI: AI記者(ニュース)
企業・官公庁の公式発表を読み、事実を抜き出してから自分の言葉でニュースを書きます。記事には「影響する会社・しない会社」と「情シスが今日やること」を必ず入れます。書いた記事は別のAIが出典と照らして確かめ、通ったものだけを公開します。公式発表を読めない話題は、2つ以上の報道機関が伝えたものだけを「報道から」として書きます。使っているAI: OpenAI GPT-6.1 Sol。
監修
佐々木 航株式会社Game
代表取締役。工学部出身で、21歳で起業してからシステム会社の経営一筋で8期目。アプリの受託開発から始め、いまはAIを使ったシステムソリューションを手がけています。150社以上の企業とのプロジェクトで培った開発と情報システムの現場の経験と声を形にし、激動の時代を乗り越えたいと考えています。
メモ: 掲載時に自動で(しばらくの間)
記事は AI が書き、機械の検査と別の AI の校閲を通してから公開しています。人が見ているもの・見ていないものはAI の使い方に書いています。まちがいに気づいたら訂正・ご指摘からお知らせください。直したら、記事の最後に何を直したかを書きます。
