GitLabが緊急セキュリティパッチを公開、未認証で公開プロジェクトが削除される重大な脆弱性に対処

要点

• GitLabは、認証を持たない攻撃者が公開プロジェクトやユーザーデータを遠隔から変更・削除できる重大な脆弱性を修正した。

• 最大深刻度を示すCVSSスコアは9.4で、セルフマネージド環境のGitLab CEおよびEEが対象となっている。

• 修正版としてバージョン19.2.4、19.1.6、19.0.8、18.11.11が提供され、SaaS版（GitLab.comなど）はすでに対策が完了している。

• 通常の定例スケジュール外で緊急リリースされ、GraphQLハンドラにおけるCSRF脆弱性（CVSS 7.1）も同時に修正された。

• GitLabは2026年8月17日、ソフトウェア「GitLab Community Edition（CE）」および「GitLab Enterprise Edition（EE）」を対象としたセキュリティ修正パッチを公開した。この更新では、特定の条件下において認証を受けていない外部の攻撃者が公開プロジェクトやユーザーデータを遠隔から変更・削除できる、深刻度「Critical」の脆弱性などが修正されている。

• 今回のアップデートは、セルフマネージド（自社サーバーなどで運用する自己ホスト型）環境の管理者に適用を求めるもので、クラウド型のGitLab.comやGitLab Dedicatedではすでに対策が完了しているという。

未認証でデータ変更・削除が可能な脆弱性「CVE-2026-19478」

今回対処された脆弱性のうち、最も深刻度が高いものが「CVE-2026-19478」として識別されている問題である。GitLabはこの脆弱性の深刻度を「Critical（緊急）」と評価しており、共通脆弱性評価システム（CVSS：脆弱性の深刻度を0.0から10.0の数値で評価する指標）のスコアは9.4と算出されている。

GitLabの説明によると、本脆弱性はGraphQL（必要なデータ構造を指定して取得・操作できるAPI向けのクエリ言語）のディレクティブを介して発生するという。特定の条件下において、認証情報を持たない第三者がネットワーク経由で公開プロジェクトやユーザーデータをリモートから変更したり、削除したりすることが可能になるとされている。

公開されたCVSSベクターの情報によれば、攻撃者は有効な認証情報を一切保持していなくてもネットワーク経由で攻撃を実行でき、正規ユーザーによる操作（リンクのクリックやログインなど）を介さずに悪用が可能であると示されている。なお、攻撃の対象となる具体的なGraphQLディレクティブの名称や、悪用を成立させるために必要な詳細な前提条件については、現時点でGitLabから明らかにされていない。

影響を受ける対象バージョンと修正パッチ

本脆弱性の修正パッチは、GitLab 19.2.4、19.1.6、19.0.8、および18.11.11の各バージョンで提供されている。

影響を受けるバージョン範囲は以下のとおりである。

• バージョン18.2以降、18.11.11未満のすべてのバージョン
• バージョン19.0系（19.0.8未満）
• バージョン19.1系（19.1.6未満）
• バージョン19.2系（19.2.4未満）

なお、影響を受ける範囲に含まれるものの、バージョン18.2から18.10までの各ブランチに対しては修正パッチが提供されないことが明記されている。

GitLabは、今回の修正アップデートにおいて新たなデータベースマイグレーションは導入されておらず、複数ノードで構成されるデプロイ環境においてもダウンタイムなしで適用可能であると説明している。また、クラウドサービスのGitLab.comおよびGitLab Dedicatedではすでにパッチ適用済みのバージョンが稼働しており、利用者が個別の対応を行う必要はないとしている。

あわせて修正されたCSRF脆弱性「CVE-2026-19650」

今回のセキュリティリリースでは、CVE-2026-19478に加えて、もう1件の脆弱性「CVE-2026-19650」の修正も行われた。こちらの深刻度は「High（高）」と評価されており、CVSSスコアは7.1とされている。

この問題は、GraphQLのマルチプレックスクエリ（複数のクエリを単一のリクエストにまとめて処理する仕組み）ハンドラにおける不適切なリクエスト検証に起因する、クロスサイトリクエストフォージェリ（CSRF：利用者が意図しない不正なリクエストを送信させられる攻撃手法）の脆弱性だ。

GitLabによると、特定の条件下において、認証されていないユーザーがGETリクエストを介してミューテーション（データの作成・更新・削除などの変更処理）を実行できる状態になっていたという。先述のクリティカルな脆弱性とは異なり、このCVE-2026-19650を悪用するためには標的ユーザーによる何らかの操作が必要とされる。

異例のスケジュールでのリリースと今後の情報開示

今回のパッチリリースは、GitLabが通常設けている月2回（第2および第4水曜日）の定期更新スケジュールから外れたタイミングで実施された。重大な問題が含まれていなかった定例パッチのリリースのわずか5日後に公開された形となる。

GitLabのセキュリティアドバイザリによると、今回修正された2件の脆弱性について、現時点で悪用が確認された事例は報告されていない。また、2026年8月18日時点において、GitHub上で一般に公開されたエクスプロイト（攻撃用コード）も確認されていないという。

なお、同社はセルフマネージドサーバーに影響を与える別の脆弱性について、研究者が実動するエクスプロイトコードを公開した事例が2026年7月に報告されていた経緯がある。GitLabは今回の件に関するコメント要請に対して即座の回答を行っていない。

GitLabは、修正パッチのリリースから90日後に自社のイシュートラッカー上で脆弱性の詳細情報を一般公開する方針をとっている（なお、2026年6月10日のパッチリリース時点ではこの期間が30日とされていた）。これにより、今回の2つの脆弱性に関する技術的な詳細は、2026年11月中旬頃に公開される見通しとなっている。