GitLabが重大パッチ19.3.2／19.2.6／19.1.8を公開 — 認証なしで任意ファイルを読み取られるCVE-2026-85706（CVSS 10.0）など16件修正

要点

• GitLabは2026年9月10日、GitLab Community Edition（CE）とEnterprise Edition（EE）向けにバージョン19.3.2、19.2.6、19.1.8を公開した。16件の脆弱性を修正するセキュリティパッチで、同社は自社で運用するすべてのGitLabインストールに直ちに更新するよう強く推奨している。
• 最も深刻なCVE-2026-85706は、リポジトリのコミットAPIにおけるパストラバーサル（経路操作）の欠陥だ。特定の条件下で、認証を受けていない利用者が細工したWebリクエストを送り、GitLabサーバ上の任意ファイルを読み取られるおそれがあった。CVSS基本値は10.0（最大）と評価されている。
• 同社が運営するGitLab.comはすでに修正版で稼働しており、GitLab Dedicated（同社が運用を代行する専用環境）の利用者は対応不要としている。

最も深刻なCVE-2026-85706の内容

CVE-2026-85706は、リポジトリのコミット情報を返すAPIで、パスの範囲制限（パス閉じ込め）が不適切だったうえ、認証の強制が欠けていたことが原因だ。攻撃者はログインすることなく、設定ファイルなどのサーバ上のファイルの内容を読み取られる可能性があった。

影響を受けるのは、GitLab CE／EEの18.7以降で19.1.8未満、19.2系で19.2.6未満、19.3系で19.3.2未満のバージョンだ。CVSSベクトルはCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:Nで、ネットワーク経由で容易に悪用でき、機密性と完全性への影響が大きいことを示している。この脆弱性はバグバウンティ制度（HackerOne）を通じて研究者s3ntago氏が報告した。

ソースコード管理サーバには自社の独自技術やクラウド基盤の認証情報が集まるため、侵入されると情報窃取だけでなく、開発パイプラインを通じた下流への不正コード混入にもつながりかねない。公開サーバを運用する組織は影響の有無にかかわらず更新を優先すべきだ。

CVSS 9.9の欠陥など、その他の主な修正

CVE-2026-87719は、GraphQLのサブスクリプション機能における安全でないデシリアライゼーション（データ復元の処理）の欠陥で、CVSS基本値は9.9だ。EEのみが影響を受け、AIアシスタント機能「GitLab Duo Chat」にアクセスできる認証済み利用者が、特別に細工したリクエストで高度な検索機能の設定や機微な認証情報を取得できるおそれがあった。バグバウンティを通じて研究者kyyblin氏が報告した。

CVE-2026-88765は、文字コード変換処理のバッファオーバーフローでCVSS基本値は8.5だ。EEのみが影響を受け、認証済み利用者が細工したプロジェクトのエクスポートを取り込ませることで、高度な検索の索引付け処理でバッファをあふれさせ、リモートコード実行に至るおそれがあった。研究者joaxcar氏が報告した。

このほか、CI/CD変数の認可不備、Markdown表示やコンテンツエディタのクロスサイトスクリプティング、GraphQLのサービス拒否なども修正されている。

GitLabの呼びかけ

GitLabはアドバイザリで、影響を受けるバージョンを運用するすべてのインストールに可能な限り速やかに最新版へ更新するよう強く推奨している。特定の導入形態（Omnibus、ソースコード、Helmチャートなど）が明記されていない場合は、すべての形態が影響を受けるとしている。

同社は各脆弱性の詳細な課題内容について、修正版の公開から90日後に課題追跡システムで公開する方針だ。管理者はまずバージョンを確認し、対応する修正版（19.3.2、19.2.6、19.1.8のいずれか）への更新を進めるとよい。

出典

• GitLab「GitLab Critical Patch Release: 19.3.2, 19.2.6, 19.1.8」(2026年9月10日)
  • https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-3-2-released/