2026-10-25
GitLab脆弱性 CVE-2026-110264（CVSS 10.0）｜自前運用のGitLabを確かめて更新する手順
GitLabは2026年10月21日、Community Edition（CE）とEnterprise Edition（EE）の緊急パッチリリース19.5.1、19.4.3、19.3.6、19.2.9、19.1.9、19.0.10、18.11.13を公開した。最も深刻なCVE-2026-110264（CVSS 10.0）は、正規表現をコンパイルするときの整数オーバーフローにより、条件によっては認証していない利用者がGitLabサーバー上で任意のコードを実行できるおそれがあるというもので、7.0以降のほぼすべての版が対象。GitLab.comは修正済みで、自前で運用している環境（Self-Managed）は更新が必要。同じリリースではHighの脆弱性2件（CVSS 8.2と7.5）なども修正されたが、こちらの修正は19.3.6以降の3系統だけに入っている。原因はRubyの正規表現エンジン（Onigmo）にあり、Rubyは10月23日に4.0.9、3.4.12、3.3.13を公開した。攻撃者が操作できる文字列から正規表現を作るアプリが対象で、Regexp.timeoutでは防げない。公表時点で悪用の報告はなく、CISAのKEVにも入っていない（10月25日時点）。当サイトの結論：自前のGitLabは必須の経由版を確かめて今日更新し、最終的には19.3.6以降に上げる。Rubyのアプリは修正版のRubyに上げ、利用者の入力から正規表現を作らない。