GitLabは2026年10月21日、認証不要で任意のコードを実行される可能性があるCVE-2026-110264を修正したと発表しました。GitLabはCVSS v3.1で10.0と評価し、自社でGitLabを運用する利用者に速やかな更新を求めています。
正規表現の処理でコード実行に至る問題
攻撃者が細工した正規表現をGitLabがコンパイルする際に整数オーバーフローが起き、ログインしていない攻撃者がGitLabサーバー上でコードを実行できる可能性があります。対象はCommunity Edition (CE)とEnterprise Edition (EE)です。
GitLab.comは更新済みです。GitLab Dedicatedも19.3系列は19.3.5-internal0以降、19.4系列は19.4.2-internal0以降に修正が含まれ、利用者側の作業は不要だとGitLabは案内しています。
先日取り上げたCVE-2026-97229とは別の脆弱性です。前回の更新を済ませていても、今回の修正版に達しているか確認が必要です。
影響するバージョンと修正版
公式告知に記載された、CVE-2026-110264の影響範囲と修正版は次のとおりです。
| 影響するバージョン | 修正版 |
|---|---|
| 7.0以降、18.11.13未満 | 18.11.13 |
| 19.0系列の19.0.10未満 | 19.0.10 |
| 19.1系列の19.1.9未満 | 19.1.9 |
| 19.2系列の19.2.9未満 | 19.2.9 |
| 19.3系列の19.3.6未満 | 19.3.6 |
| 19.4系列の19.4.3未満 | 19.4.3 |
| 19.5系列の19.5.1未満 | 19.5.1 |
18.11・19.0・19.1・19.2系列への提供は、CVE-2026-110264を個別に修正するものです。これらの版では同時発表のほかの脆弱性が残るため、19.3.6、19.4.3、19.5.1への更新が必要です。古い版から更新する場合は、GitLabの更新手順に沿って必要な中間バージョンを確認してください。
更新時の注意
19.3.6と19.4.3にはデータベース移行が含まれ、19.4.3には更新後に実行する移行処理もあります。移行を伴う単一ノード構成の更新では停止が発生するため、作業時間を確保してください。複数ノード構成では、GitLabのゼロダウンタイム更新手順を確認してください。
コメント