GitLab 脆弱性 CVE-2026-110264｜CVSS 10.0の未認証RCE、系列ごとの修正版と確認手順

GitLab 脆弱性 CVE-2026-110264（Critical・CVSS 10.0）は、特別に細工した正規表現をコンパイルするときの整数オーバーフローで、条件によっては未認証のまま GitLab サーバー上の任意のコード実行に至りうる問題です。GitLab は 2026-10-21 に 19.5.1・19.4.3・19.3.6 と、さかのぼった 19.2.9・19.1.9・19.0.10・18.11.13 を出しました。本記事は gitlab-org/cves の CVE 記録とリポジトリのタグを照合し、系列ごとの上げ先と GitLab バージョン確認の手順をまとめます。

依存関係やホスティング基盤を狙う攻撃の全体像は、サプライチェーン攻撃とは｜手口・防御ツール比較・npm 12の新機構まで実践解説にまとめています。

GitLab 脆弱性 CVE-2026-110264 の時系列と何が起きたか

タイムライン（公表日とパッチの日時）

何が起きたか

CVE 記録の題名は「Integer Overflow or Wraparound in GitLab」です。説明は、GitLab CE/EE の 7.0 以降で各系列の修正版より前のバージョンが、特定の条件のもとで、特別に細工した正規表現をコンパイルするときの整数オーバーフローにより、未認証のユーザーに GitLab サーバー上の任意のコード実行を許した可能性がある、というものです。

CVSS 3.1 は AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H で 10.0 です。ネットワーク越しに、権限も利用者の操作もなく成立しうる評価で、影響はサーバーの外（S:C）に及ぶとされています。報告者は HackerOne 経由の joaxcar 氏です。

どの機能のどの入力で条件が揃うのかは公開されていません。本記事も推測しません。正規表現まわりの別の RCE として、nginx の map 正規表現の脆弱性も同じ月に修正版が出ています。

GitLab バージョンアップの上げ先（系列ごとの早見表）

対策は修正版への更新です。CVE 記録の solution も「18.11.13・19.0.10・19.1.9・19.2.9・19.3.6・19.4.3・19.5.1 以降へ更新」だけで、workaround の欄はありません。

Helm チャートの列は各タグの Chart.yaml の appVersion で確かめた対応です。19.3.6 はチャート 10.3.7、18.11.13 はチャート 9.11.14 で、末尾の数字がそろわない系列があります。

「直らない」の根拠は CVE 記録です。High・Medium・Low の記録はどれも影響範囲を「◯◯ から 19.3.6 未満、19.4 から 19.4.3 未満、19.5 から 19.5.1 未満」と書いており、19.2.9 などは範囲に入ったままです。19.2 は GitLab 19 の必須の経由版なので、19.2.9 からはそのまま 19.3.6 以上を次の上げ先にできます。

18.10 以前を使っている場合

18.10 の最新タグは v18.10.8 で、この回の修正版はありません。公式のアップグレードパスでは、必須の経由版が GitLab 18 で 18.2・18.5・18.8・18.11、GitLab 19 で 19.2・19.5 です。経由版ではその系列の最新のパッチリリースを選ぶよう書かれています。18.x からなら、経由版をたどって 18.11.13 に着いた時点で CVE-2026-110264 の修正が入ります。古いバージョンからの道順は公式の Upgrade Path tool で組み、手順は公式のアップグレード文書に従ってください。

更新までのあいだの手がかり

GitLab のセキュリティチームは self-managed 向けに脅威検知を2つ公開しています。名称は「Onigmo native worker crash」と「Org mode render error burst」です。中身と使い方はリリース記事のリンク先で確かめてください。Onigmo は Ruby が使う正規表現ライブラリの名前ですが、CVE 記録は脆弱な箇所を名指ししていません。検知に何も出なくても、更新が要ることは変わりません。

GitLab バージョン確認のコマンドと結果の読み方

Linux パッケージ（Omnibus）と Docker では、Rails のディレクトリにある VERSION ファイルが版を持っています。

# Linux パッケージ（Omnibus）: Rails が動くノードで実行
cat /opt/gitlab/embedded/service/gitlab-rails/VERSION
sudo gitlab-rake gitlab:env:info | grep -A2 "^GitLab information"

# Docker: コンテナ名 gitlab は自分の値に置き換える
docker exec gitlab cat /opt/gitlab/embedded/service/gitlab-rails/VERSION

Helm で入れた環境や、サーバーに入れない人は API とチャートの一覧で確かめます。/api/v4/version はトークンが要り、無いと 401 Unauthorized が返ります。

# API: URL は自分の値に置き換え、トークンは環境変数 GITLAB_TOKEN に入れておく
curl -s --header "PRIVATE-TOKEN: $GITLAB_TOKEN" "https://gitlab.example.com/api/v4/version"; echo

# Helm: APP VERSION 列はチャートの既定の版（イメージの版を上書きしていれば実際と違う）
helm list -A | grep -iE "^NAME|gitlab"

読んだ版を、同じ系列の修正版と比べます。19.4.10 のような2桁のパッチ版を取り違えないよう、sort -V で比べます。

v="19.4.2-ee"   # 上で読んだ版に置き換える（CE は -ee が付かない。Helm の v19.4.2 も可）
v="${v#v}"; v="${v%-ee}"; s="${v%.*}"
case "$s" in
  18.11) f=18.11.13 ;; 19.0) f=19.0.10 ;; 19.1) f=19.1.9 ;; 19.2) f=19.2.9 ;;
  19.3) f=19.3.6 ;; 19.4) f=19.4.3 ;; 19.5) f=19.5.1 ;;
  *) f="" ;;
esac
if [ -z "$f" ]; then
  echo "$v: 修正版の表に無い系列（18.10 以前なら修正版は出ていない）"
elif [ "$(printf '%s\n' "$f" "$v" | sort -V | head -n 1)" = "$f" ]; then
  echo "$v: 系列の修正版 $f 以上（CVE-2026-110264 の修正を含む版）"
else
  echo "$v: 系列の修正版 $f より前（CVE-2026-110264 の影響範囲）"
fi

結果の読み方

・19.4.2-ee なら「19.4.3 より前」、19.4.3-ee や 19.4.10-ee なら「19.4.3 以上」と出ます
・系列の修正版以上でも、18.11〜19.2 系列なら High 2件などは残ります。上の表の右端の列を見てください
・GitLab 本体はこの検証に使っていません。VERSION ファイル・gitlab-rake の出力・API の応答・helm list の表を模した環境で、修正版より前と以上の両方の版を入れて出力が分かれることを確かめました

これは版という構成の確認で、侵害の有無の判定ではありません。修正版以上でも、更新前に侵入されていなかったとは言えません。逆に修正版より前でも、攻撃が成立する条件は公開されていないので、狙われたかどうかはこの結果だけでは分かりません。複数ノードの構成では、gitlab:env:info は GitLab Rails が動くノードで実行するよう公式文書に書かれています。

High 2件は SAML・LDAP 連携と OAuth/OIDC の構成で確かめる

High の2件は、該当する設定があるときに意味を持ちます。どちらも 19.3.6・19.4.3・19.5.1 で直り、18.11〜19.2 系列の修正版には入っていません。

CVE-2026-15723 に関わる設定は、公式文書の OmniAuth の項にある auto_link_ldap_user（Linux パッケージでは gitlab_rails['omniauth_auto_link_ldap_user']）です。gitlab-rake gitlab:env:info の出力にも Using LDAP と Using Omniauth の行があります。設定が無いことを確かめても、上げ先の判断には 19.3.6 以上を選ぶのが記録に沿った対応です。

Git ホスティングの RCE の別の例は、GitHub の CVE-2026-3854（git push を起点にしたサーバーの乗っ取り）で解説しています。

GitLab 脆弱性の影響範囲と残り9件（同じ GitLab アップデートで直る修正）

影響範囲は GitLab CE/EE の self-managed です。CVE-2026-110264 は 7.0 以降のすべての系列が対象で、修正版のある7系列より古い系列には修正版がありません。下の9件はリリース記事の一覧と CVE 記録を突き合わせたものです。

CVE のある8件はどれも 19.3.6・19.4.3・19.5.1 で直ります。18.11〜19.2 系列の修正版では直りません。

参照ソース

・GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13（リリース記事） — 修正一覧・Dedicated の条件・脅威検知の名称
・gitlab-org/cves CVE-2026-110264 — 説明・CVSS・影響範囲・solution（2026-10-22確認。他の10件も同じ場所の 2026/<CVE>.json）
・gitlab-org/gitlab のタグ v19.5.1-ee — 修正版7本のタグの日時（2026-10-22確認）
・Plan your upgrade path（GitLab 公式文書） — 必須の経由版
・Metadata API（GitLab 公式文書） — /api/v4/version の応答
・Maintenance Rake tasks（GitLab 公式文書） — gitlab:env:info
・OmniAuth（GitLab 公式文書） — auto_link_ldap_user
・GitLab Helm chart の Chart.yaml（v10.5.1） — チャートと GitLab の版の対応