GitLab、未認証での遠隔コード実行を許す深刻な脆弱性を修正　2014年以降の全バージョンが対象に

要点

• GitLabは、認証なしでサーバー上でのコード実行を許す深刻度「CVSS 10.0」の脆弱性を修正した。

• 影響範囲は2014年リリースのバージョン7.0から最新版までのセルフマネージド版におよび、12年分の製品が対象となる。

• 原因は同梱の正規表現エンジン「Onigmo」の整数オーバーフローであり、設定による回避策はなく更新が必須となる。

• 今回のリリースでは認証関連を含む計11件の脆弱性が修正されたほか、更新時に停止時間が発生する環境もある。

• GitLabは2026年10月21日、自社運用（セルフマネージド）環境のGitLabサーバーにおいて、ログインなしで遠隔から任意のプログラムを実行できる深刻な脆弱性「CVE-2026-110264」を修正するセキュリティアップデートを公開した。共通脆弱性評価システム（CVSS、情報システムの脆弱性の深刻度を評価する指標）のスコアは最高値となる「10.0」と判定されている。2014年に提供されたバージョン7.0から最新系統に至る約12年分の全リリースが影響を受ける。

12年間に及ぶ影響の要因と悪用状況

今回判明した脆弱性は、特別に細工された正規表現（文字列パターンを照合・抽出するための記述形式）のコンパイル処理時に発生する整数オーバーフロー（数値の上限を超えて誤動作を招く現象）に起因する。GitLabの説明によると、特定の条件下において未認証の第三者がサーバー上で任意のコードを実行（RCE: 遠隔からシステムを不正に操作する攻撃）できる状態になるという。ただし、攻撃が成立する具体的な条件は開示されていない。

影響が12年もの長期に及ぶ理由は、GitLabがパッケージ内に同梱してきたRuby標準の正規表現エンジン「Onigmo（鬼雲）」自体の欠陥にあるためだ。同社は2014年のバージョン7.0以降、このエンジンを自社製パッケージに組み込んで提供し続けてきたため、過去12年間にリリースされたすべてのバージョンに脆弱性が引き継がれていた。

なお、同社によれば現時点で悪用の兆候は確認されておらず、米サイバーセキュリティ・社会インフラ安全保障庁（CISA）の既知の悪用された脆弱性カタログ（KEV）にも掲載されていない（10月22日時点）。また、クラウド版「GitLab.com」や「GitLab Dedicated」ではすでに対応が完了しており、対策が必要なのはセルフマネージド環境のみとなる。

異例のバックポートと提供パッチ

GitLabの通常ポリシーでは最新と直近2世代の月次リリース（現在は19.5、19.4、19.3）のみが対象だが、今回は深刻度の高さから過去のバージョンにも修正を遡って適用するバックポートが実施された。

提供された修正バージョンは以下の7系統である。

• 19.5系（19.5.1未満）: 19.5.1
• 19.4系（19.4.3未満）: 19.4.3
• 19.3系（19.3.6未満）: 19.3.6
• 19.2系（19.2.9未満）: 19.2.9
• 19.1系（19.1.9未満）: 19.1.9
• 19.0系（19.0.10未満）: 19.0.10
• 7.0〜18.11系（18.11.13未満）: 18.11.13

なお、GitLabは本リリースの9日前にあたる10月12日にも修正を行っているが、当時のパッチはバージョン19.2以降のみを対象としていた。今回の修正バージョンはその1つ上のパッチレベルに位置するため、10月12日に更新済みの環境であっても再度の更新が必要となる。

設定による回避策の不在とログ監視

本脆弱性には設定変更による暫定的な回避策（ワークアラウンド）が存在せず、バージョンアップのみが確実な防御手段とされている。攻撃者が正規表現コンパイラへ到達する条件が開示されていないため、管理者側が設定によって安全性を確認することはできない。

一方、GitLabは攻撃の試みを監視できるよう、オープンソースの検知フレームワーク「TLDR」を通じて2種類のSigma形式ルール（「Onigmo native worker crash」「Org mode render error burst」）を公開した。管理者はこれらを用いて自社のGitLabアプリケーションログを照合し、悪用の試みが発生していないかを調査できるという。

過去1か月で4件目となる正規表現の脆弱性

本脆弱性は、セキュリティ研究者の「joaxcar」氏がGitLabの正規表現エンジンに関して過去1か月間に報告した4件目のコード実行脆弱性にあたる。

同社は10月12日にも未認証RCEの脆弱性「CVE-2026-97229」（CVSS 10.0）を修正し、さらに9月23日には認証が必要な「CVE-2026-93577」「CVE-2026-89078」（いずれもCVSS 9.9）を修正していた。過去3件の欠陥はバージョン19.2以降に限られていたが、今回の脆弱性は初めてバージョン7.0にまで遡る規模となった。

認証関連の修正と更新時のダウンタイム

10月21日のリリースでは、この深刻な欠陥を含め計11件のセキュリティ問題が解決された。

認証関連では、SAMLとLDAPの自動リンクが併用されている環境でアカウント乗っ取りを招く「CVE-2026-15723」（CVSS 8.2）や、共有キャッシュ構成でサインインを不正サーバーへ誘導できるOAuth/OpenID Connectエンドポイントのキャッシュポイズニング（不正なキャッシュデータを送り込む攻撃手法）「CVE-2026-112212」（CVSS 7.5）などが含まれる。

なお、バージョン19.4.3および19.3.6への更新にはデータベースの変更処理が伴うため、単一サーバー運用のシングルノード環境では更新作業中に停止時間（ダウンタイム）が発生する。一方、複数サーバーによるマルチノード環境では、ゼロダウンタイム手順を用いることで無停止での更新が可能とされている。