GitLabは2026年10月12日（現地時間）、Community Edition（CE）とEnterprise Edition（EE）向けに緊急アップデートを公開しました。
今回の更新では24件の脆弱性が修正されており、なかでも未認証の攻撃者によるサーバー上のコード実行につながる可能性がある問題は、CVSS基本値が最大の10.0と評価されています。
自社でGitLabを運用している場合は、利用中のバージョンを確認し、影響を受ける環境では速やかに修正版へ更新してください。
CVSS 10.0の脆弱性は正規表現の処理に関係
最も深刻度が高い「Critical」に分類されたのは、CI/CDで使われる正規表現コンパイラーの整数オーバーフローに関する脆弱性です。
脆弱性識別番号はCVE-2026-97229で、細工された正規表現をCI/CD設定に仕込まれると、認証されていないユーザーがGitLabサーバー上で任意のコードを実行するおそれがあります。
サーバー上でコードを実行されると、設定や実行環境によっては、保存されたデータや接続先のシステムに影響が及ぶ可能性があります。
ただし、公開された情報からは、脆弱性が実際に悪用されているかどうかは確認できません。
影響を受けるバージョンと修正版
CVE-2026-97229の影響を受けるのは、次の範囲のバージョンです。
| 系列 | 影響を受けるバージョン | 修正版 |
|---|---|---|
| 19.2 | 19.2.0～19.2.7 | 19.2.8 |
| 19.3 | 19.3.0～19.3.4 | 19.3.5 |
| 19.4 | 19.4.0～19.4.1 | 19.4.2 |
修正版はv19.2.8、v19.3.5、v19.4.2です。
該当するバージョンを利用している場合は、該当系列の修正版へアップグレードしてください。
ほかにも23件の脆弱性を修正
今回のパッチでは、Criticalの1件に加えて、Highが5件、Mediumが14件、Lowが4件修正されています。
Highには、シンタックスハイライトに関するクロスサイトスクリプティング（XSS）の問題や、Enterprise EditionのGitLab Duo Agent Platformに関する問題が含まれます。
後者では、認証済みユーザーがAIエージェントへの指示に細工した内容を注入し、別のユーザーの操作として意図しないコマンドを実行させるおそれがあります。
アップデートには不具合の修正も含まれるため、該当する脆弱性の有無にかかわらず、運用中の環境を確認することが重要です。
対応が必要なのは自己管理環境
GitLabによると、GitLab.comはすでに修正済みのバージョンで稼働しており、GitLab Dedicatedの利用者による対応も不要です。
一方、組織内のサーバーなどでGitLabを自ら運用する「self-managed」環境は、管理者がバージョンを確認して更新する必要があります。
更新作業では、利用中の系列に対応した修正版を選び、通常の変更管理手順に沿ってバックアップや動作確認を行ってください。
まとめ
GitLabの緊急パッチでは、未認証でサーバー上の任意コード実行につながるおそれのあるCVSS 10.0の脆弱性を含む、計24件の問題が修正されました。
自己管理環境の管理者は、バージョンを確認し、利用中の系列に対応した修正版へ速やかにアップグレードしてください。