公開プロジェクトが危険の入り口に
最近、セルフマネージド型のGitLabインスタンスを揺るがす重大な脆弱性「CVE-2026-110264」が発見され、CVSSスコアで満点の10.0を記録しました。この欠陥により、認証されていない攻撃者が脆弱なサーバー上で任意のコードを実行できる可能性があり、データの整合性と運用継続性に直接的な脅威をもたらします。
このエクスプロイトには特定の前提条件が必要です。それは、GitLabインスタンスが少なくとも1つの公開プロジェクトをホストしているか、Org-modeのレンダリングをトリガーすることです。特別に細工された正規表現入力がGitLabにバンドルされているOnigmo正規表現エンジン内の脆弱なコードに到達すると、整数オーバーフローが発生し、その結果としてコードが実行されます。
この脆弱性は、2014年6月にリリースされたGitLab 7.0まで遡る広範囲に影響を及ぼします。セルフマネージド型のCommunity Edition (CE) および Enterprise Edition (EE) の幅広いバージョンが影響を受けます。対象バージョンは以下の通りです：
- 18.11.x
- 19.0.x–19.4.x
- 19.5.0
GitLab.comおよびGitLab Dedicatedプラットフォームにはサイレントパッチが適用されましたが、セルフホスト型のデプロイメントは直ちにリスクにさらされています。回避策はありません。組織は、この深刻な脅威を軽減するために、インスタンスを18.11.13、19.0.10、または19.5.1などのパッチ適用済みバージョンにアップグレードする必要があります。約82,000台のセルフマネージド型GitLabサーバーがインターネットに露出したままであり、迅速な対応が不可欠です。
バグはRubyの正規表現エンジン内に潜んでいた
バグはGitLabにバンドルされたRubyランタイムの深部に存在していました。具体的には、Rubyが統合しているOnigmo正規表現エンジンが、正規表現のコンパイル中に繰り返しIDを誤って処理していました。注意深く作成されたパターンが整数オーバーフローを引き起こし、直接メモリ破損につながる可能性がありました。
エクスプロイトが成功すると、認証されていない攻撃者が脆弱なセルフマネージドサーバー上でネイティブコードを実行できました。このコードはGitLabのgitシステムユーザー権限で実行されるため、保存されているリポジトリに深刻なリスクをもたらし、機密性の高いCI/CDデータが侵害される可能性がありました。
このインシデントは、重要なサプライチェーンの脆弱性を浮き彫りにしました。ベンダー提供またはバンドルされたランタイムコンポーネントは、アプリケーションの主要なコードベースに適用される精査を免れることがよくあります。堅牢な内部セキュリティレビューであっても、アップストリームライブラリの欠陥を見逃す可能性があります。
この修正には、GitLabがOmnibusパッケージ内でRuby 3.3、3.4、および4.0のカスタムパッチ適用済みバイナリを出荷し、Onigmoのオーバーフローを解決する必要がありました。信頼できない正規表現をコンパイルするRubyベースのサービスはすべて、特に最新のRubyアップストリームパッチ（Ruby 4.0.9、3.4.12、および3.3.13）を適用していない場合、直ちに露出状況を評価する必要があります。この脆弱性は、基盤となるコンポーネントの単一の欠陥が、長年の運用上の整合性を危うくする可能性があることを示しています。
9日間で2度の満点10は偶然ではない
GitLabの最近のセキュリティ記録は、即時の注意を必要としています。CVSS 10.0と評価された今回のOnigmoの欠陥は、同じく10.0と評価されたCI/CD正規表現コンパイラの欠陥に対する重要な修正からわずか9日後に発生しました。この集中は前例がなく、リスクプロファイルの変化を示唆しています。
歴史的に、GitLabが2019年から2025年末までに記録したCVSS 10.0の脆弱性はわずか4件でした。しかし、2026年の初秋には、わずか6週間のうちに3件もの満点10の脆弱性に直面しました。9月の先行事例はパッチ適用から1日以内に悪用されたと報告されており、対応の緊急性が強調されています。
このような重要なアドバイザリの頻発は、セルフマネージド型インスタンスの運用に多大なプレッシャーを与えています。緊急アップグレードにはしばしばダウンタイムや複雑なデータベース移行が伴い、開発パイプラインを中断させます。アドバイザリが繰り返されることで管理者の間にパッチ疲れが生じ、システムが未パッチのまま放置される可能性が高まります。
対応が遅れるたびに、攻撃者のスキャン対象となる期間中にシステムが脆弱な状態にさらされます。インターネットからアクセス可能なセルフマネージド型GitLabサーバーは約82,000台にのぼり、攻撃対象領域は非常に広大です。詳細および今後のアドバイザリについては、GitLab Releases & Security Advisoriesを参照してください。リーダー層は、この状況が単なる不運ではなく、セキュリティ体制と更新プロトコルの戦略的な再評価を必要とする事態であることを認識しなければなりません。
この記事が気に入ったら、毎朝同じようなものをメールで受け取れます。
1日1通 · 2クリックで解除 · サードパーティのトラッキングなし
まずはパッチを適用し、待機中に調査を行う
セルフマネージド型GitLabインスタンスには、即時の対応が不可欠です。このCVSS 10.0の脆弱性には回避策が存在しないため、管理者は遅滞なくパッチ適用済みリリースへアップグレードする必要があります。GitLabのセキュリティアドバイザリおよびリリースページを確認し、自身のバージョンを確認した上で適切なバックポートを適用してください。
GitLabは、GitLab.comやGitLab Dedicatedを含むホスト型サービスに対して、先制的にパッチを適用することでリスクを軽減しました。しかし、セルフマネージド型インスタンスを運用する組織には、18.11.13、19.0.10、または19.5.1といったセキュアなバージョンへ更新する責任があります。これを行わない場合、システムは危険にさらされたままとなります。
パッチ適用後は、徹底的な調査が最優先事項です。GitLabの検出ガイダンスを確認し、侵害の兆候がないか調査してください。特にOnigmoワーカーのクラッシュや、Org-modeレンダリングエラーの異常な発生に注意してください。約82,000台のセルフマネージド型GitLabサーバーがインターネットからアクセス可能であることを踏まえ、インスタンスの公開範囲を評価してください。
最後に、侵害が疑われる場合は、CI/CDのシークレットとアクセスログの包括的な監査を実施してください。10年以上にわたる運用の完全性を損なう可能性のある脅威に対しては、事前のパッチ適用と、インシデント発生後の警戒を怠らない分析が最強の防御策となります。
よくある質問 (FAQ)
GitLabのCVE-2026-110264脆弱性とは何ですか？
これは、GitLabに同梱されているRubyの正規表現エンジン「Onigmo」における整数オーバーフローに起因する、CVSS 10.0のリモートコード実行（RCE）の欠陥です。
どのGitLabインスタンスが影響を受けますか？
この欠陥は、公開プロジェクトや関連するレンダリングトリガーが存在する場合、7.0以降のセルフマネージド型GitLab CEおよびEEバージョンに影響を及ぼします。
管理者はどのようにしてセルフマネージド型GitLabインスタンスを保護できますか？
可能な限り迅速にパッチ適用済みのGitLabリリースへアップグレードしてください。アドバイザリには、サポートされている各リリースブランチの修正済みバージョンが記載されています。
GitLab.comは影響を受けましたか？
GitLabは、GitLab.comおよびGitLab Dedicatedについては公開前にパッチが適用済みであると報告しています。セルフマネージド型の管理者は、各自でアップデートを適用する必要があります。