本文へ
ハクソク

世界を動かす技術を、日本語で。

GitLab 重要パッチリリース

元記事: 原文(docs.gitlab.com)

概要

GitLabは2026年10月21日、 複数バージョン のセキュリティ＆バグ修正版をリリース。 重大な脆弱性 が修正されており、全ユーザーに 即時アップグレード を強く推奨。 GitLab.comやDedicatedは既に 修正版を適用済み。 脆弱性情報は 90日後に公開 される方針。 アップグレードやセキュリティ強化の ベストプラクティス も案内。

GitLab 2026年10月21日 セキュリティ＆バグ修正版リリース

  • GitLab Community Edition (CE) および Enterprise Edition (EE) 向けに、 19.5.1、19.4.3、19.3.6、19.2.9、19.1.9、19.0.10、18.11.13 をリリース
  • これらのバージョンには 重要なバグ修正およびセキュリティ修正 を含む
  • 自己管理型GitLab 利用者は、直ちにこれらのバージョンへアップグレードを推奨
  • GitLab.com および Dedicated テナントは既に修正版を運用中
  • パッチリリースは 定期スケジュール （月2回）または 緊急時のアドホック対応 で提供
  • 詳細は releases handbook や security FAQ を参照
  • セキュリティ修正内容は 90日後にIssue Trackerで公開
  • 最高レベルのセキュリティ基準 を維持する方針
  • セキュリティ強化の ベストプラクティス も公式ブログで案内

推奨アクション

  • 下記で説明する問題に該当するバージョンを利用している場合、 直ちに最新版へアップグレード を強く推奨
  • 全てのデプロイメントタイプ （Omnibus、ソースコード、Helmチャート等）が影響対象

セキュリティ修正一覧

  • 整数オーバーフロー による正規表現コンパイラの脆弱性（Critical）
  • OmniAuth-to-LDAP自動リンク の認証不備（High）
  • OAuth/OIDCディスカバリエンドポイント のキャッシュポイズニング（High）
  • GraphQLワークアイテム のメールアドレスフィールドのアクセス制御不備（Medium）
  • SAML/LDAP会員ロック の不完全な強制（Medium）
  • 内部レスポンスヘッダ による資格情報漏洩（Medium）
  • グループマイルストーンAPI の認可バイパス（Medium）
  • AI Gateway機能有効化ヘッダー の信頼性問題（Medium）
  • マージリクエストタイトル描画 時の機密情報キャッシュ漏洩（Low）
  • マージリクエスト承認ポリシー の不適切なアクセス制御（Low）
  • セキュリティファインディング の例外発生時の不適切なクリーンアップ（Low）
  • Amazon Q設定 におけるDuo管理ロックの不適切なアクセス制御（Low）

主要なCVE脆弱性詳細

CVE-2026-110264: 正規表現コンパイラの整数オーバーフロー（Critical）

  • 未認証ユーザー による任意コード実行の可能性
  • 18.11.13以前/19.0.10以前/19.1.9以前/19.2.9以前/19.3.6以前/19.4.3以前/19.5.1未満 が影響
  • CVSSスコア10.0
  • HackerOne バグ報奨金プログラムで報告

CVE-2026-15723: OmniAuth-to-LDAP自動リンクの認証不備（High）

  • 認証済ユーザー によるLDAPアカウント乗っ取りの恐れ
  • 19.3.6以前/19.4.3以前/19.5.1未満 が影響
  • CVSSスコア8.2

CVE-2026-112212: OAuth/OIDCディスカバリのキャッシュポイズニング（High）

  • 未認証ユーザー によるディスカバリキャッシュの改ざん
  • 19.3.6以前/19.4.3以前/19.5.1未満 が影響
  • CVSSスコア7.5

CVE-2026-12664: GraphQLワークアイテムのメールアドレスフィールド不備（Medium）

  • APIトークン利用者 によるプロジェクト受信メールアドレス漏洩
  • 19.3.6以前/19.4.3以前/19.5.1未満 が影響
  • CVSSスコア6.8

CVE-2026-16255: SAML/LDAP会員ロックの不完全な強制（Medium）

  • 認証済ユーザー による不正なメンバー追加
  • 19.3.6以前/19.4.3以前/19.5.1未満 が影響
  • CVSSスコア5.9

その他の脆弱性

  • 内部資格情報漏洩、認可バイパス、AI機能の不正利用、機密情報キャッシュ漏洩 など、多数の中～低レベル脆弱性も修正

バグ修正（19.5.1例）

  • 19.5ドキュメントページ の安定ブランチへのバックポート
  • CI変数/スコープピッカー/リリースノート の修正
  • Helmチャート更新、Duo CLIセットアップ、Gitalyリソース管理 等の改善
  • パイプライン実行ポリシー、コミットリストUI の機能向上

まとめ

  • 全ユーザーは速やかに最新版へアップグレード が必要
  • 公式情報やFAQ、ブログ で追加のセキュリティ対策や詳細を確認
  • GitLabのセキュリティ文化 として、継続的なパッチ提供と情報公開を実施

提供: ハクソク · 要約更新:

AIによる日本語要約です。内容は原文とあわせてご確認ください。

Hacker Newsの議論を読む

Hackerたちの意見

フリートをパッチ当てるなら、gitlab-rake gitlab:env:infoを使うと、ノードごとの正確なバージョンがわかるよ。オムニバスパッケージ名から推測するよりも早いしね。

セキュリティ的に素晴らしい一週間だね！

└

まだ水曜日だから、週の半ばだよ。

└

レモン、水曜日だよ。

└

コーヒーをやめるには間違った週を選んじゃったな。

└

まだ水曜日だよ、先生。

Perl 5.8以前では、正規表現エンジンはC関数のレベルで再帰して動いてたから、大きな文字列を渡すとスタックオーバーフローを引き起こすことができたんだ。これと似てるのかな？なんでGitLabが独自の正規表現コンパイラを持ってるのか不思議だよ。もしかして、基盤となるライブラリやプログラミング言語の脆弱性なのかな？

└

GitLabは独自のフォーク版Ruby Onigmo正規表現エンジンを使ってるみたいだね。

https://hackerone.com/joaxcar の素晴らしい発見だね。これほど深刻なバグが、今日の最大のセキュリティ脆弱性じゃないっていうのはちょっと怖いな。

これってバグなの？それともまだ早い？ :) アップデート後もポップアップが表示されるんだけど、「現在のバージョンは19.5.1です！GitLabのインストールをすぐにアップグレードすることを強くお勧めします。」って。19.5.1が最新で修正されたバージョンのはずなのに。

└

彼らのアップデートチェッカーは、あまりうまく動いてないよ。GitLabダッシュボード内でアップグレード警告が消えるまでに数時間かかることもあるんだ。

└

私もそれ持ってる…でも、かなり早めにアップデートしたよ。

Hacker Newsで議論の続きを見る