CVE-2026-19478: 重大なGitLab GraphQLの脆弱性、認証されていないデータ変更を可能に

GitLabは、認証されていないリモート攻撃者が公開プロジェクトやユーザーデータを変更または削除できる重大な脆弱性に対処する緊急セキュリティアップデートをリリースしました。CVE-2026-19478として追跡されるこの欠陥は、GitLab Community Edition（CE）およびEnterprise Edition（EE）の両方に影響を与え、CVSSスコア9.4を持ちます。

この脆弱性は、GraphQLディレクティブに関連するコードインジェクションの問題に起因しています。GitLabによるCVSSの評価によれば、悪用は低い攻撃の複雑さでリモートから行うことができ、特権を必要とせず、ユーザーの操作に依存しません。これらの特徴により、自主管理されているインターネットに面したGitLabインスタンスが、信頼性のある悪用技術が利用可能になると、自動攻撃に特にさらされることになります。

GitLabは、2026年8月17日に、通常の月2回のパッチスケジュール外でパッチ済みバージョン19.2.4、19.1.6、19.0.8、および18.11.11をリリースしました。 GitLab.comとGitLab Dedicatedはすでにパッチ適用済みのソフトウェアを実行しており、緊急の是正措置が主に自主管理インストールを運営する組織に適用されます。

CVE-2026-19478の分析

この脆弱性はGitLabのGraphQL機能に存在し、特定の条件下で、認証されていない攻撃者がGraphQLディレクティブを通じて操作を注入することを許可します。成功した悪用は、公開アクセス可能なプロジェクトやユーザーデータの許可されていない変更や削除をもたらす可能性があります。

CVE-2026-19478は次のGitLab CEおよびEEバージョンに影響します：

• 18.2から18.11.11以前のすべてのリリース
• 19.0から19.0.8以前
• 19.1から19.1.6以前
• 19.2から19.2.4以前

GitLabは、セキュリティ勧告が特定のデプロイ方法を指定しない場合、すべてのデプロイタイプが影響を受けると考えるべきだと述べています。これは、脆弱なOmnibusインストール、ソースデプロイメント、Helmベースの環境、および他の自主管理型デプロイメントモデルが評価され、更新されるべきであることを意味します。

CVE-2026-19478の最も重要な詳細は、そのCVSSベクトルに反映されています：ネットワークアクセス可能な悪用、低攻撃の複雑さ、認証不要、および被害者とのやり取り不要。GitLabはデータの機密性への影響を低く評価し、データの整合性と可用性への影響を高く評価しました。これは、アプリケーションデータを変更または削除する能力と一致しています。

関与する正確なGraphQLディレクティブは公開されていません。GitLabは、脆弱なコードパスに達するために必要な特定の条件も説明しておらず、これが技術情報の現在の利用可能性を攻撃者と防御者の両方に制限しています。

これは重要です。なぜなら、GraphQLが構造化クエリとミューテーションを通じてクライアントにアプリケーションデータへの柔軟なアクセスを提供するように設計されているからです。GitLabのようなプラットフォームでは、GraphQL操作の無許可の操作が、リポジトリ、プロジェクト、ユーザー管理リソース、およびアプリケーションAPI層を通じて公開された他のデータに影響を与える可能性があります。この場合、GitLabは、公開プロジェクトやユーザーデータを変更または削除する能力を特に確認しています。

この脆弱性は、セキュリティ研究者hiimguardianによってGitLabのHackerOneバグバウンティプログラムを通じて報告されました。会社は、元のプライベート発見または報告日を公開しておらず、2026年8月17日のクリティカルパッチが発行されたときが、最初に確認された公開開示日です。

8月18日現在、引用された報告にCVE-2026-19478の公共に利用可能なPoCが確認されず、GitLabは活発な悪用の証拠を公開していません。Hacker Newsも公的な攻撃コードがその時点でGitHubに現れていないと報告しました。

その状況は、公開後すぐに変わる可能性があります。GitLabは通常、修正を含むリリースの90日後に、その基礎となるセキュリティ問題を問題トラッカーで公開します。したがって、脆弱なGraphQL動作に関する深い技術情報は、2026年11月中旬頃に利用可能になる可能性があり、それより前にパッチを適用することの重要性が増します。

GitLabは確認された悪用を報告していないため、ベンダー固有のCVE-2026-19478 IOCsは公開されていません。したがって、防御者は、既知の悪意のあるIPアドレス、ハッシュ、またはドメインよりもバージョン評価、アプリケーションテレメトリー、GraphQLリクエストログ、監査イベント、および公開プロジェクトまたはユーザーデータの予期しない変更に主に依存する必要があります。

GitLabの緊急リリースは、評価7.1の別のGraphQL脆弱性であるCVE-2026-19650も修正しています。この問題は、GraphQL多重クエリハンドラにおけるクロスサイトリクエストフォージェリの弱点で、認証されていない攻撃者がGETリクエスト経由でミューテーションを実行する可能性がありますが、悪用にはユーザーの操作が必要です。これは重大なコードインジェクションフローとは別のものですが、完全なセキュリティアップデートを展開することの重要性を強調します。

CVE-2026-19478の緩和策

GitLabは、影響を受けたすべての自主管理インストールを直ちにアップグレードすることを強く推奨しています。組織は次の修正されたリリースまたは修正を含むサポートされた後期バージョンに移行すべきです：

• GitLab 18.11.11
• GitLab 19.0.8
• GitLab 19.1.6
• GitLab 19.2.4

18.2から18.10のバージョンを実行している組織は、特にアップグレードパスに注意を払うべきです。これらのブランチは脆弱な範囲内にありましたが、別個の修正版を受け取っていないため、バックポートを待つのではなく、サポートされた修正済みブランチに移行する必要があります。

GitLab.comおよびGitLab Dedicatedの顧客は、この問題の修正を行う必要はありません。なぜなら、それらの環境はすでにGitLabによって更新されたからです。自主管理の顧客は、自分のアプリケーションバージョンを確認し、アップグレードを完了する責任があります。

CVE-2026-19478の検出は、すべての自主管理GitLabインスタンスを特定し、その正確なバージョンを影響を受ける範囲と比較することから始めるべきです。認証を必要としないため、インターネット面したインストールおよび公開アクセス可能なプロジェクトをホストしているシステムは、最優先の是正措置を受けるべきです。

CVE-2026-19478の悪用試行を検出するには、セキュリティチームはGitLab、リバースプロキシ、WAF、およびAPIテレメトリーを次のようなアクティビティについてレビューするべきです：

• GitLab GraphQLエンドポイントへの不通常な認証されていないリクエスト
• 匿名セッションから発生する予期しないGraphQLミューテーション
• 公開プロジェクトの突然の変更または削除
• 対応する認証ユーザイベントなしでの公開ユーザーデータの変更
• 繰り返される無効または不通常なGraphQLディレクティブ
• 以前に見たことのないソースからの大量のGraphQLリクエスト
• 正当な管理活動と一致しないプロジェクトの削除または変更イベント

GitLabが正確な悪用パターンをリリースしていないため、これらの行動は、確定的な侵害指標というよりもハンティングの手掛かりとして扱うべきです。

管理者はまた、既存のリポジトリとプロジェクトメタデータを最近のバックアップまたは他の既知の良好な記録と比較するべきです。脆弱性の主な確認された結果は整合性と可用性に関与し、無許可の変更や削除が通常のマルウェアアーティファクトよりも悪用の証拠として役立つ可能性があります。

したがって、CVE-2026-19478の緩和プロセスは、迅速なパッチ適用と整合性チェック、監査ログのレビュー、重要なプロジェクト活動の検証を組み合わせるべきです。疑わしい修正が発見された場合、管理者は復元前に関連するログを保存し、可能であれば元のGraphQLリクエストを特定し、関連するアカウントとAPI活動をレビューし、信頼できるバックアップから影響を受けたデータを復元するべきです。

GitLabは、パッチ済みリリースが新しいマイグレーションを導入せず、マルチノードデプロイメントにダウンタイムを要求しないと述べています。ただし、デフォルトのOmnibusパッケージアップグレードは通常、サービスを停止し、更新プロセスを実行し、再び開始するため、管理者がその動作をカスタマイズしていない限り、そうするのが普通です。

営業担当者に問い合わせる