最高深刻度のGitLabの脆弱性、12年分のリリースでリモートコード実行を許す

何が起きたのか

GitLab は 2026 年 10 月 22 日に、最も高い危険度の弱点を修正しました。この弱点は「整数オーバーフロー」と呼ばれる計算ミスの一種です。特別に作られた「正規表現」（文字列を探すための決まったパターン）を処理するときに起きます。自分たちでサーバーを管理している会社の GitLab が対象です。GitLab.com などの GitLab が管理するサービスは、すでに修正されています。

数字で見るポイント

• 弱点の番号は CVE-2026-110264 です。危険度は最高の 10 点です。
• 2014 年 6 月リリースの GitLab 7.0 から影響を受けるとされています。約 12 年分のバージョンが対象です。
• 修正版は 19.5.1、19.4.3、19.3.6 です。古い版にも 19.2.9、19.1.9、19.0.10、18.11.13 の修正が出ています。
• GitLab は全世界で 5,000 万人の登録ユーザーがいるとしています。Fortune 100 企業の半分以上が使っているとのことです。

なぜ古い版まで関係するのか

GitLab は、長く使われている古い版にも修正を入れることがあります。これを「バックポート」と呼びます。今すぐ新しい版へ上げられない会社も多いため、古い版にも修正を配っています。ただし、古い版を使い続けている会社は、早めに修正版へ上げる必要があります。

なぜ大事なのか

GitLab には、会社のプログラムの元になるコード、接続情報（パスワードなどの鍵）、本番環境への入口が保存されていることがあります。そのため、サーバーを乗っ取られると、情報が盗まれたり、プログラムに悪い細工をされたりするおそれがあります。セキュリティ会社は、まだ攻撃の報告はないものの、犯罪者がすぐに狙い始める可能性が高いと見ています。

これから注目すること

• 実際に攻撃が始まったという報告が出るかどうか
• 自社の GitLab を、修正版に上げたかどうか
• GitLab が出した検出ルールで、攻撃の痕跡が見つかるかどうか