GitLabは2026年10月8日、重大な脆弱性を修正する19.4.2、19.3.4、19.2.8を公開しました。対象はGitLab Community Edition(CE)とEnterprise Edition(EE)です。自社で管理するセルフマネージド環境には、修正版への即時更新を強く推奨しています。
未認証者によるコード実行の恐れ、対象版を確認
特に確認したいのはCVE-2026-97229です。ビルドやテストなどを自動化するCI/CDで、文字列の照合条件を記す正規表現の処理に整数オーバーフローが起きる問題です。整数の計算結果が扱える範囲を超える不具合を指します。
GitLabの深刻度評価はCriticalです。脆弱性の深刻度を数値で示すCVSSは10.0でした。条件次第で、認証されていない人が細工した正規表現を使い、サーバー上で任意のコードを実行する恐れがあります。
この脆弱性の対象は、CE・EEの次の範囲です。
- 19.1以上、19.2.8未満
- 19.3以上、19.3.4未満
- 19.4以上、19.4.2未満
19.4系だけでなく、19.3系や19.2系、19.1系も確認が必要です。現在の版と更新先を分けて記録してください。この一覧はCVE-2026-97229の対象範囲です。ほかの脆弱性まで対象外と判断するための一覧ではありません。
ブラウザーや自動実行の権限に関する修正も
CE・EEの構文強調表示におけるCVE-2026-92883も修正しました。文字の色などで構文を見やすくする機能の問題です。条件次第では認証済みユーザーが他人のブラウザーで任意のJavaScriptを実行できます。これはXSSと呼ばれる脆弱性で、CVSSは8.7です。
下流パイプラインの作成処理にある認可不備、CVE-2026-16301のCVSSは8.5です。条件次第でDeveloper権限のユーザーが、保護ブランチで許可されていないCI/CD実行を行えます。
リポジトリファイルへのアクセス時の検証不備、CVE-2026-14814はCVSS 8.2です。条件次第で、一時保存するキャッシュの内容が不正に変えられ、保護された環境変数が漏えいする恐れがあります。
EEでは、定期パイプライン実行ポリシーの認可不備、CVE-2026-81839も修正しました。CVSSは7.7です。条件次第では移管したプロジェクトで、新しいグループの権限による任意のCI/CD実行が起こり得ます。
GitLab Duo Agent Platformの入力処理不備、CVE-2026-96893はCVSS 7.3です。条件次第でAIへの指示に細工され、他人によるものとして意図しないコマンドが実行される恐れがあります。
影響する会社・しない会社
- 影響する: CE・EEをセルフマネージド環境で運用する会社です。GitLabは全セルフマネージド環境に即時更新を強く推奨しています。CVE-2026-97229の対象版は、上記の範囲で確認できます。
- 影響する: EEで定期パイプライン実行ポリシーやGitLab Duo Agent Platformを利用し、対象版を運用する会社です。CVE-2026-81839は18.1以上19.2.8未満、CVE-2026-96893は19.1以上19.2.8未満が対象です。両方とも19.3以上19.3.4未満と、19.4以上19.4.2未満も対象です。
- 影響しない: GitLab.comの利用会社は、今回の修正版がすでに適用されています。利用会社によるパッチ適用は不要です。
- 影響しない: GitLab Dedicatedの顧客は、今回の発表で対応不要とされています。
これは追加の更新作業が必要かどうかの整理です。GitLabは、導入方式の指定がない脆弱性について、全導入方式が影響対象としています。クラウド型だから脆弱性と無関係だった、という意味ではありません。日本での提供は発表には書かれていません。
情シスが今日やること
- 導入方式と稼働版を確認する。 IT資産台帳や運用記録で、GitLab.com、GitLab Dedicated、セルフマネージドのどれかを確認します。自社管理ならCE・EEの区別と稼働版も記録してください。版を確認する管理画面の具体的な場所は、発表には書かれていません。不明な場合は運用担当者や委託先に照会します。
- 対象版と更新先を照合する。 上記の対象範囲を確認し、修正版の19.4.2、19.3.4、19.2.8への更新を担当者と調整します。GitLabの推奨は即時更新です。今日の確認で実施予定と担当者を決め、すぐ更新できない場合は理由も記録してください。
- 開発責任者と運用委託先に更新予定を知らせる。 サーバー上のコード実行だけでなく、保護ブランチでの無許可の実行や環境変数の漏えいにつながる修正もあると伝えます。作業に伴う利用への影響を、更新前に担当者間で確認してください。
- 更新後の版と対応状況を記録する。 自社管理環境では、予定した修正版になったことを運用担当者に確認します。GitLab.comとGitLab Dedicatedは、自社適用不要の根拠を記録します。脆弱性の詳細は修正版公開から90日後に課題トラッカーで公開されますが、それを待たずに更新判断を進めてください。
