概要
GitLabは8月17日、セルフホスト版CE/EE向けに複数バージョン(19.2.4、19.1.6、19.0.8、18.11.11)の緊急パッチをリリースした。対象は18.2以降18.11.11未満、19.0未満19.0.8、19.1未満19.1.6、19.2未満19.2.4を利用しているすべてのインスタンスで、重大なセキュリティ脆弱性の修正が含まれるため、GitLabは即時アップグレードを強く推奨している。
修正された脆弱性
最も深刻なのはCVSS スコア9.4(極度に深刻)と評価されたCVE-2026-19478で、GraphQLディレクティブを経由したコード注入の問題だ。特定の条件下では、認証されていない攻撃者が公開プロジェクトやユーザーデータをリモートで改変・削除できる可能性があった。この脆弱性はHackerOne経由でセキュリティリサーチャーのhiimguardian氏から報告された。
もう一件、CVSS 7.1(高深刻度)のCVE-2026-19650も同時に修正されている。こちらはGraphQLのマルチプレックスクエリハンドラーに存在したCSRFの問題で、リクエスト検証の不備により、認証されていないユーザーがGETリクエスト経由でミューテーションを実行できる可能性があった。この脆弱性はHackerOne経由でkreep氏が報告した。
アップグレードについて
GitLabはこれらの脆弱性の深刻度を踏まえ、対象バージョンを利用する全ユーザーに直ちにアップグレードするよう呼びかけている。今回のパッチには新たなデータベースマイグレーションが含まれていないため、マルチノード環境でもダウンタイムなしで適用できるという。GitLab.comなどのSaaS環境は既に対応済みとみられ、影響を受けるのはセルフホスト版のインスタンスとなる。