GitLabに深刻な脆弱性、GraphQLで不正な改変が可能に — NCSCが更新を呼びかけ、PoC公開で悪用リスク上昇

オランダ国家サイバーセキュリティセンター（NCSC-NL、オランダ法務・安全省傘下）は2026年8月18日に公表した**GitLab Community Edition（CE）およびEnterprise Edition（EE）**の脆弱性について、2026年8月26日 11:24（中央ヨーロッパ夏時間）に内容を更新し、悪用を実証するPoC（概念実証）コードが公開され、悪用される可能性が一段と高まったとして、まだ更新していないシステムは直ちにGitLabの修正版を適用するよう呼びかけた。

2件の脆弱性、CVSS 9.4と7.1 — GraphQLが影響

NCSC-NLによると、脆弱性は2件でいずれもGitLabのGraphQL（APIの問い合わせ言語）関連の処理に存在する。

• CVE-2026-19478 — CVSSスコア 9.4（深刻）。権限を持たないユーザーが、GraphQLの機能を悪用して公開プロジェクトやユーザーデータに対して意図しない変更や削除を行える。
• CVE-2026-19650 — CVSSスコア 7.1。権限のないユーザーが、特定のリクエストの処理の不具合を突いてサーバ上で変更を加えることが可能になる。

NCSC-NLは当初、悪用される可能性を「中」、悪用された場合の被害を「高」と評価していたが、**2026年8月25日の更新で「公的なPoCが利用可能になり、活発な悪用が観測される可能性がある」**としてリスク評価を引き上げた。

影響を受けるバージョンと修正版

NCSC-NLとGitLabの公表に基づけば、影響を受けるのは次のバージョン未満のすべてのGitLab CE/EEだ。

• 19.2.4 未満
• 19.1.6 未満
• 19.0.8 未満
• 18.11.11 未満

GitLabはこれら4系統それぞれの修正版（19.2.4、19.1.6、19.0.8、18.11.11）を公開済みだ。NCSC-NLは「GitLabが提供する更新をできるだけ早くインストールしてほしい」と述べ、自組織が脆弱なバージョンを使っているか不明な場合はITサービス提供者に連絡し、更新の実施と防御状況の確認を依頼するよう助言している。

NCSC-NLはGitLabを「チームがコードやプロジェクト、バージョンを共同で管理し、開発プロセスを整理・自動化するプラットフォーム」と説明している。日本国内でもソフトウェア開発やCI/CD（継続的インテグレーション／継続的デリバリ）の基盤として広く使われており、対象バージョンを利用している場合は影響を確認する必要がある。

悪用されると何が起きるか

NCSC-NLは、脆弱性を放置した場合、攻撃者がGitLabプロジェクト内のデータを無断で改変・削除したり、開発プロセスを妨害したり、機微なデータへアクセスしたりするおそれがあるとしている。いずれの脆弱性も認証のないユーザーでも悪用できる点が、深刻度を押し上げている。

2026年8月25日時点でPoCが公開されているため、NCSC-NLは「更新がまだのシステムは、できるだけ早くGitLabの更新を適用してほしい」と改めて強調した。

私たちにできること

NCSC-NLが推奨している対応は、GitLabが公開した修正版（19.2.4 / 19.1.6 / 19.0.8 / 18.11.11）への速やかな更新に限られる。同センターは、独自の回避策や緩和策を案内しておらず、提供された更新プログラムのインストールを呼びかけている。運用中のGitLabのバージョン確認や更新作業は、NCSC-NLの助言どおり、IT担当部門や委託先と連携して進めることが望ましい。

出典: Ernstige kwetsbaarheden in GitLab-producten ontdekt: update nu — NCSC-NL（2026年8月18日公表、2026年8月26日 11:24 更新。2026年8月25日追記でPoC公開と悪用リスク上昇を追記）