フォローする GitLabは、認証されていない攻撃者が脆弱なセルフマネージドGitLabサーバーで任意のコードを実行する可能性がある、最も深刻な脆弱性CVE-2026-110264に対応する緊急のセキュリティアップデートをリリースしました。この欠陥はCVSSスコア10.0を持ち、GitLab Community Edition（CE）およびEnterprise Edition（EE）の両方に影響を与えます。
この脆弱性は、影響を受けるコードが2014年にリリースされたGitLab 7.0まで遡るため、特に注目に値します。これにより、おおよそ12年間のGitLabリリースが脆弱範囲に入りますが、攻撃者がその期間中にこの弱点を利用していた証拠は現在のところありません。GitLabは2026年10月21日にこの問題を公開し、修正されたバージョンをリリースしました。
この脆弱性は、特別に作成された正規表現をGitLabがコンパイルする際にトリガされる整数オーバーフローから発生します。特定の条件下で、認証されていない攻撃者がその状態を利用して、基盤となるGitLabサーバーで任意のコードを実行できる可能性があります。GitLabは、管理者がパッチを展開する間、完全な悪用経路と特定の前提条件を意図的に開示していません。
セルフマネージドGitLabインフラストラクチャを運用している組織にとって、潜在的な影響は深刻です。GitLabリポジトリにはしばしばソースコード、CI/CD構成、デプロイメントシークレット、アクセス証明トークン、インフラストラクチャ定義、プロダクション環境への接続が含まれています。したがって、サーバーレベルでの妥協は、証明書盗難、リポジトリ操作、サプライチェーン攻撃、永続性、またはラテラルムーブメントの機会を作り出す可能性があります。
CVE-2026-110264の検出機会を探しているセキュリティチームは、SIEM、EDR、およびデータレイク環境全体での脆弱性悪用や関連する妥協後の行動への可視性を強化するために、SOC PrimeのAIネイティブ検出インテリジェンスプラットフォームを活用できます。
クリック 検出を探索 関連する検出コンテンツとハンティングロジックにアクセスします。CVE-2026-110264悪用の試みを検出するには、防御者はGitLabアプリケーションのテレメトリーをプロセスの実行、異常なサーバーの動作、およびGitLabの新たに発表された脅威検出ロジックと相関させるべきです。
セキュリティ専門家はPrime Architectを使用して、新たな脆弱性インテリジェンスをSigmaルールやハンティングクエリに変換し、検出ロジックを検証し、関連するアタックフローを生成し、サポートされているセキュリティプラットフォーム間で検出コンテンツを翻訳することもできます。
CVE-2026-110264の分析
GitLabは、この脆弱性をその正規表現コンパイラにおける整数オーバーフローとして説明しています。特定の条件下では、特別に作成された正規表現のコンパイルが、認証なしにGitLabサーバーで任意のコード実行につながる可能性があります。
GitLabは、この脆弱性にCVSS v3.1の最高スコア10.0を割り当て、ベクトルCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:Hを示しました。これは、ネットワークからアクセス可能で、攻撃の複雑さが低く、必要な特権がなく、ユーザーの介入が不要で、機密性、整合性、可用性に高い影響を与える可能性があることを反映しています。
セキュリティ研究者joaxcarがGitLabのHackerOneバグ報償プログラムを通じてこの脆弱性を発見し報告しました。GitLabのリリースノートでも、Rubyの正規表現処理に関する修正を参照しており、報告によれば影響を受けるエンジンはOnigmo、Rubyの正規表現実装で、GitLabパッケージにバンドルされているとしています。
CVE-2026-110264は、GitLab CEとEEに非常に広範囲にわたって影響します：
- GitLab 7.0 からバージョン18.11.13以前のすべてのバージョン
- GitLab 19.0 の19.0.10以前
- GitLab 19.1 の19.1.9以前
- GitLab 19.2 の19.2.9以前
- GitLab 19.3 の19.3.6以前
- GitLab 19.4 の19.4.3以前
- GitLab 19.5 の19.5.1以前
GitLabは、深刻度と異常に広範囲な曝露のため、通常のサポートパッチブランチに加え、18.11.13、19.0.10、19.1.9、および19.2.9にも修正をバックポートしました。
長期間の脆弱なウィンドウは、2014年以来欠陥が積極的に悪用されていることを意味しません。むしろ、GitLab 7.0以来のリリースには脆弱な正規表現機能が存在していました。2026年10月22日現在、GitLabおよび2つの提供された報告により、実際の攻撃での悪用は確認されていません。
この脆弱性は、10月初めにパッチが適用された正規表現処理に関連する別の重要なGitLabリモートコード実行の欠陥であるCVE-2026-97229と混同されるべきではありません。こちらの問題は、より最近のリリースの狭い範囲に影響していました。10月12日のその脆弱性に対する修正をインストールしても、この新たに開示された欠陥からシステムを自動的に保護するものではありません。
したがって、最近GitLabを更新した管理者は、以前の10月のセキュリティリリースが十分な保護を提供すると仮定せずに、インストールされたビルドを正確に確認する必要があります。
CVE-2026-110264の現在利用可能な詳細は、攻撃者制御の入力、エンドポイント、機能、または脆弱な正規表現コンパイラに到達するために必要な条件を正確には公開していません。GitLabは通常、修正を含むリリースの90日後に詳細なセキュリティ問題を公表し、顧客がパッチを適用する間、すぐに武器化可能な技術情報の入手可能性を削減します。
提供された報告やGitLabアドバイザリにおいて、CVE-2026-110264の公開PoCは明らかにされていません。サイバーセキュリティニュースは、GitLabが公開された悪用を公表していないと特に言及しており、同社は完全な攻撃経路の開示を制限しています。
同時に、公的な概念実証の欠如を低リスクと解釈すべきではありません。CVSS 10.0の評価を持つ遠隔で到達可能な、認証されていない脆弱性は特に魅力的なターゲットとなります。特にセルフマネージドGitLabサーバーが頻繁にインターネットに公開されているためです。
現在、特定のキャンペーンに特化したCVE-2026-110264 IOCs（悪意のあるIPアドレス、ドメイン、ペイロードハッシュ、確認済みの悪用要求パターンなど）は存在しません。GitLabや引用されたセキュリティ研究者がアクティブな悪用を報告していないためです。
しかし、GitLabは、セルフマネージドインストールでの悪用の試みを特定することを意図した2つの脅威検出を公表しました：
- Onigmoネイティブワーカークラッシュ
- Orgモードレンダーエラーバースト
これらの検出は、脆弱性をトリガーしようとする疑わしい行動を特定するために設計されています。それらの存在自体では、成功した妥協を確認することはできず、より広範なアプリケーションおよびエンドポイントのテレメトリーと相関させる必要があります。
セキュリティチームは、期待されていないGitLabアプリケーションクラッシュ、レンダリングエラーの急増、GitLabやRubyコンポーネントに起因する異常なプロセス、予期しないシェル実行、新たに作成された永続化メカニズム、異常に動作するGitLabサーバーからの外向き接続を調査するべきです。
CVE-2026-110264の緩和措置
GitLabは、影響を受けるセルフマネージドインストールを運用しているすべての組織に対し、直ちにアップグレードすることを強く推奨しています。修正されたバージョンは以下の通りです：
| GitLabブランチ | 修正バージョン |
| 18.11以前にサポートされた移行パス | 18.11.13 |
| 19.0 | 19.0.10 |
| 19.1 | 19.1.9 |
| 19.2 | 19.2.9 |
| 19.3 | 19.3.6 |
| 19.4 | 19.4.3 |
| 19.5 | 19.5.1 |
GitLab.comはすでに更新されています。内部バージョン19.3.5-internal0、19.4.2-internal0、またはそれ以降を使用しているGitLab専用テナントは、必要な修正を既に含んでおり、この脆弱性に対する対策を取る必要はありません。
セルフマネージドの顧客は、追加の悪用詳細を待つ間に修正措置を遅らせてはなりません。GitLabは、同等の保護を提供する代替の応急処置を公表していないため、修正されたリリースのインストールが信頼性のある修正方法です。
アップグレード前に、管理者はGitLabのアップグレードドキュメントを確認し、データベースの移行を考慮する必要があります。GitLabは、シングルノードの展開が移行完了までダウンタイムを経験する可能性があり、適正に構成されたマルチノード環境ではベンダーのゼロダウンタイムアップグレードプロセスに従うことができると警告しています。バージョン19.3.6および19.4.3には通常の移行が含まれており、19.4.3にはデプロイ後の移行も含まれます。
パッチ適用後、セキュリティチームは、サーバーがターゲットになったことがないことの証明として更新自体を考えるのではなく、過去の分析を実施するべきです。GitLabが公表した2つの悪用インジケータのためにGitLabアプリケーションログを確認し、アップグレード前の疑わしい活動を調査してください。
防御者はまた、以下のオペレーティングシステムのテレメトリーを調査すべきです：
- GitLab、Ruby、または関連するワーカーから発生した予期しない子プロセス
- GitLabのサービスアカウント下でのシェルやスクリプトインタープリタの実行
- 新しいSSHキーまたは管理アカウント
- リポジトリまたはCI/CDパイプラインに対する予期しない変更
- 新たに作成されたスケジュールされたジョブや永続化メカニズム
- ランナー、デプロイトークン、個人アクセス証明トークン、プロジェクトアクセス証明トークンへの変更
- GitLabサーバーからの異常な外向き接続
- CI/CD変数に保存された秘密への不正アクセス
- パッケージ、リリース、またはリポジトリの予期しない変更
もしコンプロマイズが疑われる場合、組織はサーバーを隔離し、ログおよびフォレンジックアーティファクトを保持し、潜在的に曝露された資格情報やトークンをローテーションし、リポジトリやCI/CDワークフローの整合性を確認してからインスタンスをプロダクションに戻すべきです。
GitLabインストールはしばしばソフトウェア開発パイプライン内の信頼されたインフラストラクチャとして機能するため、対応者は攻撃者がソースコード、成果物、コンテナイメージ、インフラストラクチャとしてのコードテンプレート、またはデプロイメントワークフローを変更できたかどうかも確認する必要があります。コンプロマイズされたGitLabサーバーは、元のサーバーが修正された後でも、下流のサプライチェーンリスクを生み出す可能性があります。
SOC PrimeのAIネイティブ検出インテリジェンスプラットフォームは、出現する脆弱性の悪用に対する検出姿勢を強化するために、MITRE ATT&CK®にマッピングされた行動ベースの検出コンテンツを継続的に更新することで組織を支援できます。
免責事項： 検出コンテンツはすべてのCVEに対して利用可能であるとは限りません。現在のカバレッジについてはSOC Primeプラットフォームを確認してください。関連する検出がまだ利用可能でない場合は、新しい脅威インテリジェンスや検出コンテンツが継続的に追加されているため、再度確認してください。
FAQ
CVE-2026-110264とは何か、それはどのように機能するのか？
CVE-2026-110264は、GitLab Community EditionとEnterprise Editionに影響を与える重大なリモートコード実行の脆弱性です。特別に作成された正規表現をGitLabがコンパイルする際に発生する可能性のある整数オーバーフローから生じます。特定の条件下で、認証されていないリモート攻撃者がこの欠陥をトリガーし、GitLabサーバーで任意のコードを実行することができます。GitLabは、脆弱なコードに到達するために必要な完全な入力またはアプリケーションパスをまだ公開していません。
CVE-2026-110264はいつ最初に発見されましたか？
この脆弱性は、セキュリティ研究者joaxcarによってGitLabのHackerOneバグ報奨プログラムを通じて報告されました。GitLabは2026年10月21日にこの問題を公表し、パッチをリリースしました。脆弱なコード自体は2014年のバージョン7.0からGitLabのリリースに存在していたが、これはその脆弱性が完全な12年間知られたり悪用されたりしていたことを意味するわけではありません。
CVE-2026-110264がシステムに与える影響は何ですか？
成功した悪用は、認証されていない攻撃者が脆弱なセルフマネージドGitLabサーバーで任意のコードを実行できる可能性があります。GitLabはソースコード、資格情報、アクセス証明トークン、CI/CDシークレット、ビルド成果物、デプロイメント構成、インフラストラクチャの定義を保存できるため、サーバーの妥協は機密データの盗難、リポジトリの改ざん、持続性、資格情報の妥協、ラテラルムーブメント、またはソフトウェアのサプライチェーン攻撃を引き起こす可能性があります。GitLabのCVSS評価は、機密性、整合性、および可用性に与える潜在的な影響を高としています。
2026年にまだCVE-2026-110264の影響を受ける可能性がありますか？
はい。影響を受けるバージョン範囲内の任意のセルフマネージドGitLab CEまたはEEのインストールは、修正されたリリースにアップグレードされるまで脆弱です。GitLab.comはすでにパッチが適用されており、更新されたGitLab専用環境は保護されています。セルフマネージド組織は、正確にインストールされたバージョンを確認するべきです。2026年10月初めのGitLabパッチサイクル中に更新されたシステムでさえ、さらに別のアップグレードが必要な場合があります。
CVE-2026-110264から自分を保護するにはどうすればいいですか？
セルフマネージドGitLabを直ちに18.11.13、19.0.10、19.1.9、19.2.9、19.3.6、19.4.3、19.5.1またはそれ以上のサポートされているリリースに更新してください。パッチ適用後、GitLabが発表した「Onigmoネイティブワーカークラッシュ」と「Orgモードレンダーエラーバースト」の検出を見直し、過去のアプリケーションおよびエンドポイントのテレメトリーを調査して疑わしい活動を特定し、予期しないプロセス実行や構成の変更を調査します。コンプロマイズの兆候がある場合、影響を受けるインスタンスを隔離し、資格情報やアクセス証明トークンをローテーションし、CI/CDシークレットとランナーを見直し、リポジトリ、パッケージ、ビルド成果物、デプロイメントパイプラインの整合性を確認してから通常の操作を再開します。
