GitLabが任意のコードを実行可能な危険度最大の脆弱性など12件に対するセキュリティパッチを公開

「緊急」に分類された脆弱性・CVE-2026-110264は、「特定条件下で、特別に細工された正規表現をコンパイルする際に整数オーバーフローが発生し、未認証ユーザーがGitLabサーバー上で任意のコードを実行できる可能性がある」という内容で、HackerOneバグ報奨金プログラムを通じてjoaxcar氏が報告したものです。

影響を受けるバージョンは「GitLab CE・EEの7.0以降、今回のパッチを当てるまでの全バージョン」と広範。バージョン7.0は2014年リリースなので、12年にわたって影響を受ける可能性がある状態でした。

GitLabでは現地時間10月12日にも危険度「緊急」の脆弱性・CVE-2026-97229を含む24件に対応するパッチをリリースしていますが、このときのパッチを適用済みのインスタンスも今回の対象に含まれます。

なお、GitLabによると、CVE-2026-110264が攻撃に悪用された形跡はないとのこと。サイバーセキュリティ・社会基盤安全保障庁(CISA)が公開している「既知の悪用済み脆弱性一覧」にも含まれていないことが確認されています。