ソフト開発の現場で広く使われる「GitLab（ギットラボ）」に、最高深刻度の脆弱性（システムの弱点）が見つかりました。認証を受けていない第三者が、サーバー上で任意のプログラムを遠隔実行できる恐れがあり、深刻度は最大の10.0と評価されています。GitLabは10月21日に修正版を公開し、利用者に緊急の更新を呼びかけています。
深刻度は最大の「10.0」
今回の欠陥は「CVE-2026-110264」として登録され、脆弱性の深刻度を測る共通指標「CVSS」で最大値の10.0と判定されました。GitLabによると、特定の条件下で、ログインしていない利用者がサーバー上で任意のコードを実行できる恐れがあります。原因は、特殊な正規表現を処理する際に起きる「整数オーバーフロー」と呼ばれる不具合で、GitLabが組み込んでいる正規表現エンジンに起因します。
2014年以降のほぼ全バージョンが対象
影響を受けるのは、企業が自社で運用する「自己管理型」のGitLab（CE版・EE版）です。2014年に公開されたバージョン7.0までさかのぼって、ほぼすべての版が対象となります。GitLabが運営するクラウド版（GitLab.com）はすでに修正済みです。GitLabは通常の方針を超えて古いバージョンにも修正を適用しており、問題の深刻さがうかがえます。
悪用は未確認、だが即時更新を
GitLabは「現時点で悪用の兆候は確認していない」としていますが、回避策は示されておらず、修正版への更新が唯一確実な対策だとしています。対象となる組織は、19.5.1や19.4.3などの修正版へ速やかに更新する必要があります。なお、この正規表現エンジンをめぐっては、同じ研究者がこの1カ月で4件もの同種の欠陥を報告しており、注意が続いています。
日本への影響
GitLabは日本の多くのIT企業やソフト開発の現場でも標準的に使われており、今回の欠陥は決して対岸の火事ではありません。特に、自社サーバーでGitLabを運用している企業は、速やかに修正版へ更新することが強く求められます。ソースコードは企業の重要な知的財産であり、ここを乗っ取られれば、製品の設計情報や顧客データの流出、さらには開発基盤を踏み台にした供給網（サプライチェーン）全体への攻撃につながりかねません。悪用がまだ確認されていない「今」こそ、攻撃者に先んじて対処できる貴重な時間だといえます。システム管理者は、自社が使うバージョンを確認し、更新計画を直ちに立てることが欠かせません。更新時にはデータベースの変更を伴い、構成によってはサービス停止が生じる点にも留意し、計画的な作業が求められます。
まとめ：最高深刻度の欠陥は、悪用される前の対処が肝心です。自社でGitLabを運用する企業は、今すぐ更新状況の確認を。
出典：
https://thehackernews.com/2026/10/critical-gitlab-flaw-cvss-100-could.html
https://gbhackers.com/gitlab-patches-critical-10-0-rce-vulnerability/
Photo: Walkator / Unsplash
