GitLabに認証不要のコード実行リスク、セルフマネージド版は更新を

影響を受けるGitLab CE・EEをセルフマネージドで運用している場合は、速やかに修正版へ更新してください。GitLab.comはすでに修正済みで、同じ更新作業を利用者が行う必要はありません。

細工された正規表現から、サーバー上のコード実行へ

GitLabが10月21日に公開した緊急パッチでは、重大な脆弱性CVE-2026-110264が修正されました。深刻度はCVSS 10.0です。

問題は、細工された正規表現をコンパイルする際に起きる整数オーバーフローです。特定の条件下で、認証されていない第三者がGitLabサーバー上で任意のコードを実行できる恐れがあります。

利用中の系列ごとに修正版を確認

通常のパッチ対象に加え、18.11・19.0・19.1・19.2系列にも修正がバックポートされています。この脆弱性の影響範囲と対応する修正版は、CE・EE共通です。

7.0以降18.11.13未満：修正版は18.11.13です。

19.0系列の19.0.10未満：修正版は19.0.10です。

19.1系列の19.1.9未満：修正版は19.1.9です。

19.2系列の19.2.9未満：修正版は19.2.9です。

19.3系列の19.3.6未満：修正版は19.3.6です。

19.4系列の19.4.3未満：修正版は19.4.3です。

19.5系列の19.5.1未満：修正版は19.5.1です。

クラウドの対応状況と、更新時に必要な停止時間

GitLab.comは修正済みです。GitLab Dedicatedでは、19.3.5-internal0および19.4.2-internal0以降を稼働させているテナントに修正が含まれており、今回の告知に伴う対応は不要とされています。

セルフマネージド環境では、更新に伴うデータベースのマイグレーションにも注意が必要です。単一ノードでは、マイグレーションが完了してGitLabを起動できるようになるまで停止時間が発生します。複数ノードでは、適切なゼロダウンタイム更新手順を使うことで、停止せずに適用できます。

19.3.6と19.4.3には更新中に実行される通常のマイグレーションがあり、19.4.3にはデプロイ後のマイグレーションも含まれます。公式のアップグレードガイドで現在のバージョンから必要な更新経路を確認し、稼働構成に合わせて作業を計画してください。