GitLab緊急パッチ7バージョン同時リリース
原題: GitLab critical patch release
なぜ重要か
CriticalおよびHigh評価の脆弱性が複数含まれ、セルフホスト型GitLabを利用する企業のコードリポジトリやCI/CDパイプラインへの不正アクセスリスクが直接的に高まる。
GitLabは2026年10月21日、Community EditionおよびEnterprise Editionを対象に、19.5.1・19.4.3・19.3.6・19.2.9・19.1.9・19.0.10・18.11.13の7バージョンを同時リリースした。Critical深刻度を含む複数の脆弱性を修正しており、セルフマネージド環境を運営する全ユーザーに即時アップグレードを強く推奨している。GitLab.comおよびGitLab Dedicatedの一部テナントには既に適用済み。
GitLabは7つのバージョンを同時リリースし、計10件以上のセキュリティ脆弱性を修正した。最も深刻なのは、正規表現コンパイラに存在する「Integer Overflow」の問題で、CE・EEの両エディションに影響するCritical評価の脆弱性だ。
高（High）深刻度の問題は2件。OmniAuthとLDAPの自動リンク機能におけるメール検索での「Improper Authentication」と、OAuth/OIDCディスカバリーエンドポイントでの「Cache Poisoning」がそれぞれCE・EEに影響する。
Medium評価では、GraphQL経由でワークアイテムのメールアドレスフィールドへの不正アクセス、インスタンス全体のSAML/LDAPメンバーシップロックの不完全な適用（EE限定）、内部レスポンスヘッダーへの認証情報露出、グループマイルストーンAPIでのユーザー制御キーを利用した認証バイパス、AI Gatewayの機能有効化ヘッダーにおける信頼度の低いソース参照（EE限定）の計5件が確認されている。
Low評価では、マージリクエストのタイトルレンダリングにおけるキャッシュ情報漏えい（CE/EE）、マージリクエスト承認ポリシー適用における不適切なアクセス制御（EE限定）が含まれる。
GitLab.comはすでにパッチ済みバージョンで稼働中。GitLab Dedicatedのテナントのうち、19.3.5-internal0および19.4.2-internal0以降を実行中のユーザーはすでに修正を含んでおり、追加対応は不要。
GitLabのセキュリティポリシーに基づき、各脆弱性の詳細はパッチリリースから90日後に公開される。今回のリリースは通常のスケジュールリリースではなく、重大脆弱性向けのアドホックな緊急パッチとして発行された。