GitLabの重大な脆弱性「CVE-2026-19478」に悪用報告　公開から数日で攻撃を観測

要点

• GitLabのコードインジェクション脆弱性「CVE-2026-19478」（CVSS 9.4）が、情報開示から数日で実際に悪用されていることが判明した。

• 認証不要で公開プロジェクトの改ざんや削除、データの書き換えが可能となる。

• セキュリティ企業watchTowrは公開から数分で脆弱性を再現し、ハニーポット環境で悪用を観測したと報告した。

• リポジトリ全体の削除や偽のマージ履歴の作成、メンテナーの追放など甚大な被害につながる恐れがある。

• すでに修正版が配布されており、即時更新が難しい場合の緩和策としてAPIアクセスの制限などが案内されている。

• GitLabで新たに公表された重大なセキュリティ脆弱性「CVE-2026-19478」について、公開からわずか数日のうちに実際の悪用（イン・ザ・ワイルドでの攻撃）が確認されたことが明らかになった。セキュリティ企業watchTowrの報告をもとに海外メディアのThe Hacker Newsが報じた。攻撃者は認証情報を必要とせず、公開プロジェクトの改ざんや削除を行える状態となっており、インターネット上に公開されているセルフホスト環境を中心に迅速な対処が求められている。

脆弱性の詳細と影響を受けるバージョン

今回悪用が確認された「CVE-2026-19478」は、GitLabに存在するコードインジェクション（不正なプログラムコードを注入・実行させる攻撃手法）の脆弱性だ。共通脆弱性評価システム（CVSS：脆弱性の深刻度を0から10の数値で評価する指標）のスコアは「9.4」と評価されており、極めて深刻度が高い。

GitLabが今週初めに公開したアラートによると、本脆弱性はGraphQL（必要なデータ構造を指定して取得・操作できるWeb APIの仕組み）のディレクティブを介して悪用される恐れがあるという。特定の条件下において、認証情報（クレデンシャル）の入力やユーザーの操作、特殊な設定などを必要とせず、未認証の攻撃者が外部から公開プロジェクトのデータを書き換えたり削除したりできる状態になっていた。

影響を受けるのは、GitLab Community Edition（CE）および Enterprise Edition（EE）の以下のバージョンである。

• 18.2 以上 18.11.11 未満
• 19.0 以上 19.0.8 未満
• 19.1 以上 19.1.6 未満
• 19.2 以上 19.2.4 未満

GitLabは今週前半に本脆弱性への修正パッチを公開しており、GitLab CE / EEのバージョン 19.2.4、19.1.6、19.0.8、18.11.11 で修正が適用されている。

公開から数分で再現、ハニーポットでの悪用を確認

脆弱性管理を手がけるセキュリティ企業のwatchTowrがThe Hacker Newsに語ったところによると、同社は脆弱性の情報公開からわずか数分で再現に成功したという。さらに、同社が運用するハニーポット（攻撃者の活動を調査するために意図的に設置された囮の環境）において、実際に本脆弱性を悪用した攻撃を観測したとしている。

watchTowrのプリンシパルセキュリティリサーチャーを務めるJake Knott氏は、脆弱性の公開から攻撃までの時間が著しく短縮されている現状について言及した。Knott氏は、AI（人工知能）を活用する攻撃者によって公開から悪用までの時間が圧縮されており、「次の定期パッチ適用サイクルまで待つ」という対応では間に合わないケースが増えているのが新たな現実だと述べている。

リポジトリ削除や「偽の修正記録」など甚大な影響

watchTowrは、本脆弱性が及ぼす影響は単なる公開プロジェクトの改ざんや削除にとどまらないと指摘している。

同社によると、攻撃者は以下のような深刻な操作を実行できる可能性があるという。

• リポジトリ全体の完全な削除
• 実際には修正されていないにもかかわらず、修正が適用されたように見せかける「偽のマージ記録」の偽造
• プロジェクトの保守担当者（メンテナー）のアカウント追放（BAN）

特に、修正が完了したかのように偽装するマージ記録の作成は、ソフトウェアのサプライチェーンにおける信頼性を損なう深刻なリスクとなり得る。

推奨される対応策とログの調査方法

現在、インターネットに接続されたセルフホスト（自前のサーバーやインフラ上でソフトウェアを運用する形態）のGitLabインスタンスを運用している組織に対し、パッチ適用済みバージョンへの速やかなアップグレードが強く推奨されている。

直ちにパッチを適用できない場合の緩和策として、以下の対応が提示されている。

• /api/graphql エンドポイントに対する未認証アクセスの制限
• 公開リポジトリへのアクセス権限の完全な削除

また、まだパッチを適用できていない組織に向けて、watchTowrはWebサーバーログの確認を呼びかけている。ログ内で「@gl_introduced」という文字列を含むリクエストを検索することで、事前調査の試行や攻撃の兆候を検知できるとしている。