2026 年 10 月 21 日、GitLab は GitLab Community Edition（CE）および Enterprise Edition（EE）向けに、バージョン 19.5.1、19.4.3、19.3.6、19.2.9、19.1.9、19.0.10、18.11.13 をリリースしました。これらのバージョンには重要なバグ修正とセキュリティ修正が含まれており、GitLab はセルフマネージド版の GitLab インストールをすべて、これらのいずれかのバージョンへ直ちにアップグレードするよう強く推奨しています。GitLab.com はすでに修正済みのバージョンで稼働しています。19.3.5-internal0 および 19.4.2-internal0 以降を実行している GitLab Dedicated のテナントは、これらの修正をすでに含んでおり、対応は不要です。
GitLab は、パッチリリースにおける脆弱性の修正を 2 種類の形で提供しています。毎月第 2 および第 4 水曜日に年 2 回発行される定期リリースと、深刻度の高い脆弱性に対する緊急の重要パッチです。セキュリティ問題は、修正されたリリースから 90 日後に issue tracker で公開されます。GitLab は、顧客に公開されるか顧客データをホストするプラットフォームのあらゆる側面において、最高水準のセキュリティ基準を遵守すると表明しています。
もっとも深刻な修正は CVE-2026-110264 に対するもので、正規表現コンパイラにおける整数オーバーフローです。特定の条件下では、認証されていないユーザーが GitLab サーバー上で任意のコードを実行できる可能性がありました。その CVSS スコアは 10.0 で、HackerOne のバグバウンティプログラムを通じて報告されました。この修正はバージョン 18.11.13、19.0.10、19.1.9、19.2.9 にバックポートされています。
もう一つの修正 CVE-2026-15723 は、不適切な認証の問題に対処するものです。OmniAuth SAML と LDAP の自動リンクが両方有効になっている場合、認証済みのユーザーは対象者による操作なしに、既存の LDAP ベースのアカウントを乗っ取ることができました。CVSS スコアは 8.2 です。影響を受けるバージョンは、修正版リリースより前の 10.1 から 19.5 にわたります。GitLab はまた、悪用の試みを特定するために、セルフマネージドインスタンス向けに 2 つの脅威検出機能を公開しました。GitLab.com や GitLab Dedicated を含む GitLab が管理するインフラストラクチャは、引き続き修正済みです。
出典: Hacker News · 要約：HeadlinesBriefing