GitLabは、Community Edition (CE) および Enterprise Edition (EE) ソフトウェアの複数のバージョンに影響を与える重大なパッチリリースを公開しました。このアップデートは、正規表現コンパイラにおける整数オーバーフローにより、認証されていないユーザーがGitLabサーバー上で任意のコードを実行できる可能性がある高深刻度の脆弱性（CVE-2026-110264）に対処するものです。この欠陥は、HackerOneのバグバウンティプログラムを通じて発見および報告されました。このリスクを軽減するため、GitLabはすべてのセルフマネージド環境において、19.5.1、19.4.3、19.3.6、19.2.9、19.1.9、19.0.10、および18.11.13を含む修正済みバージョンへ直ちにアップグレードすることを強く推奨しています。
この画像は、重要なセキュリティパッチおよび脆弱性開示の対象となっているGitLabプラットフォームを表しています。
重大なリモートコード実行の欠陥に加え、このパッチリリースは他にもいくつかの重要なセキュリティ問題に対処しています。これらには、認証済みユーザーがLDAPバックエンドのアカウントを乗っ取ることを可能にする可能性がある、OmniAuthからLDAPへの自動リンクにおける高深刻度の不適切な認証の問題（CVE-2026-15723）が含まれます。その他の対処された脆弱性は、OAuth/OIDCディスカバリエンドポイントにおけるキャッシュポイズニング、GraphQLフィールドにおける不適切なアクセス制御、レスポンスヘッダーにおける内部資格情報の露出など、中程度から低深刻度のものまで多岐にわたります。GitLab.comおよび特定の内部バージョンを実行しているGitLab Dedicatedテナントはすでにパッチが適用されていますが、セルフマネージドユーザーはセキュリティ衛生を維持するために、これらのアップデートを手動で適用する必要があります。
管理者がこれらのリスクを特定および軽減するのを支援するため、GitLabはセルフマネージドインスタンス向けに「Onigmo native worker crash」および「Org mode render error burst」という2つの特定の脅威検知をリリースしました。これらの検知は、ユーザーがログ内の潜在的な悪用試行を特定するのに役立つように設計されています。GitLabは、高いセキュリティ基準を維持することにコミットしている一方で、内部またはバグバウンティを通じて特定されたこれらの脆弱性の発見は、プロアクティブなパッチ適用の継続的な必要性を強調していると述べています。同社は、影響を受けるユーザーにさらなる透明性と技術的コンテキストを提供するため、パッチリリースから90日後にこれらの脆弱性の具体的な詳細をイシュートラッカーで公開するという方針を維持しています。