GitLabにCVSS 10.0の新たな重大脆弱性「CVE-2026-110264」、2014年のバージョン7.0以降に影響―認証不要のコード実行リスク

GitLabは2026年10月21日、Community Edition（CE）とEnterprise Edition（EE）に存在する重大な脆弱性「CVE-2026-110264」を修正するセキュリティ更新を公開しました。細工された正規表現のコンパイル時に整数オーバーフローが発生し、特定条件下で認証されていない攻撃者がGitLabサーバー上で任意のコードを実行できるおそれがあります。GitLabの評価はCVSS v3.1で最高値の10.0です。

影響範囲はGitLab 7.0以降の約12年にわたるリリースに及びます。10月12日に公表された別の重大脆弱性への対策として更新した環境も、今回の新たな修正を適用する必要があります。GitLabはSelf-Managed（自社管理型）環境の利用者に対し、速やかな更新を要請しています。

GitLab「CVE-2026-110264」のサマリー

• 公表・修正版公開日：2026年10月21日
• 対象：GitLab Community Edition（CE）／Enterprise Edition（EE）
• 脆弱性：CVE-2026-110264、正規表現コンパイラーの整数オーバーフロー
• 深刻度：CVSS v3.1 10.0（Critical）
• 影響範囲：GitLab 7.0以降、各修正版に達していないバージョン
• 想定被害：特定条件下で認証不要のリモートコード実行（RCE）
• 修正版：19.5.1、19.4.3、19.3.6、19.2.9、19.1.9、19.0.10、18.11.13
• 対応対象：Self-Managed環境。GitLab.comは修正済み。GitLab Dedicatedも指定の内部修正版以降は対応不要
• GitLabは「Onigmo native worker crash」「Org mode render error burst」の2種類の脅威検知ルールを公開
• 同時公開の更新では、認証連携を使ったアカウント乗っ取りやOAuth/OIDCキャッシュ汚染の問題なども修正

影響範囲はGitLab 7.0以降―修正版は7系列

GitLabは今回、通常のセキュリティ更新に加え、18.11系、19.0系、19.1系、19.2系にも修正をバックポートしました。これは影響が古いリリースまで及ぶためです。

表は今回の脆弱性への修正が含まれる最小バージョンを整理したものです。古い系列を使い続けることを推奨するものではありません。GitLabはサポート対象系列の最新パッチの利用を勧めています。大幅なバージョンアップが必要な環境では、公式の「アップグレードパス」に従い、必要な中間バージョンとバックグラウンド移行処理を確認してください。

正規表現コンパイル時の整数オーバーフロー、認証不要でサーバー侵害のおそれ

今回の問題は、特殊な正規表現をコンパイルする際の整数オーバーフローにあります。整数オーバーフローは、演算結果が処理可能な数値の範囲を超える不具合です。GitLabは、特定条件下でこの不具合が認証されていない第三者による任意コード実行につながると説明しています。

CVSSの評価には、ネットワーク経由で攻撃できること、攻撃者に事前の権限が不要なこと、利用者の操作を必要としないことが反映されています。ただし、公式発表は攻撃成立の詳細条件を限定して説明しており、すべての構成で必ずコード実行に成功するという意味ではありません。10月21日付のGitLab公表資料には、この新しいCVEが実際の攻撃で悪用されたとの記述はありません。

GitLabサーバーが侵害されれば、アクセス権限や実行環境に応じて、ソースコード、CI/CDパイプライン、デプロイ用トークン、連携するシステムなどへ被害が波及する可能性があります。こうした二次被害はリスク上の想定であり、今回のCVEによる実被害が確認されたという意味ではありません。

10月12日公表の「CVE-2026-97229」とは別問題―前回のパッチ適用済みでも再更新が必要

GitLabは10月12日にも、CI/CDの正規表現処理を原因とする別の脆弱性「CVE-2026-97229」（CVSS 10.0）を修正しました。この時点での修正版は19.4.2、19.3.5、19.2.8です。

今回のCVE-2026-110264は異なる識別番号が付与された問題で、影響範囲もGitLab 7.0以降に広がっています。そのため、前回の更新を適用して19.4.2、19.3.5、19.2.8を利用している場合でも、今回の修正版には達していません。

10月12日の脆弱性については、GitLabの「CVE-2026-97229」と対策を解説した既報と、Rapid7のPoC公開に関する続報を参照してください。先行CVEについて公開されたPoCの検証結果を、今回の新たなCVEにもそのまま適用できるわけではありません。

同時に12件のセキュリティ問題を修正、認証連携とサインイン経路にも影響

10月21日のパッチリリースでは、CVE-2026-110264を含む12件のセキュリティ問題が修正されました。このうち深刻度がHighの2件は認証連携に関連します。

このほか、GraphQL APIの権限チェック、SAML／LDAPのメンバーシップ制限、内部認証情報を含むレスポンスヘッダー、マージリクエストの承認制御などにも修正が含まれます。組織の利用機能によっては、RCE以外の観点でも更新が必要です。

GitLabが侵害兆候の検知ルールを公開、更新前のログも点検

GitLabはSelf-Managedの管理者向けに、今回の脆弱性に対する攻撃試行を調べるための検知ルールを2種類公開しています。

• Onigmo native worker crash：正規表現エンジンに関連するワーカープロセスの異常終了を検知するためのルール
• Org mode render error burst：Org modeのレンダリングエラーが短時間に増加する兆候を捉えるルール

これらは不審な挙動の調査を支援するものであり、アラートの発生だけで侵害が確定するわけではありません。また、検知結果が出ないことも安全性の証明にはなりません。既に外部公開されていたGitLabについては、修正後も過去のアクセスログやアプリケーションログを確認する必要があります。

Self-Managed環境で確認する対応事項

1. GitLab CE／EEのすべてのインスタンスを洗い出し、使用バージョン、外部公開状態、利用部署、管理担当者を整理する。
2. 現在のバージョン系列に応じて公式修正版を適用する。古いバージョンからの移行では、必要な中間アップグレードとバックアップを計画する。
3. 更新前後のログで異常なワーカー停止、Org mode処理のエラー増加、想定外のアクセスや管理操作を確認する。
4. 侵害の兆候が見つかった場合は、関連するCI/CD設定、Runner、デプロイ用シークレット、個人アクセストークンやサービスアカウントの利用履歴を調査する。認証情報の漏えいが疑われる場合はローテーションも検討する。
5. 更新までの間は外部公開範囲、匿名アクセス、公開プロジェクトへの書き込み権限を見直す。ただし、これらの制限だけで今回の脆弱性が解消されるわけではない。

GitLabの公式リリースノートによると、19.4.3と19.3.6には通常のデータベースマイグレーションが含まれ、19.4.3にはデプロイ後マイグレーションも含まれます。単一ノード環境では更新に伴う停止が発生するため、業務への影響を考慮した計画が必要です。複数ノード環境では、適切な手順に従うことで停止を伴わず更新できるとしています。

なお、GitLab.comは修正版で運用されており、GitLab Dedicatedの19.3.5-internal0、19.4.2-internal0以降も修正済みです。対応要否はGitLabを自社運用しているかどうかで分けて判断してください。

出典

• GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13 – GitLab公式（2026年10月21日）
• GitLab Critical Patch Release: 19.4.2, 19.3.5, 19.2.8 – GitLab公式（2026年10月12日）
• Plan your upgrade path – GitLab公式
• Onigmo native worker crash – GitLab Security TLDR
• Org mode render error burst – GitLab Security TLDR