開発の基盤

GitLab に深刻度 10.0 の欠陥が 2 つ。10 月 12 日に直したサーバーも、まだ危ない

ソースコードを置いて管理する GitLab に、最高の深刻度 10.0 の欠陥が 10 月だけで 2 つ見つかりました。10 月 12 日に直された CVE-2026-97229 に続き、10 月 21 日には CVE-2026-110264 が直されました。後者は 7.0 以降のすべての版が対象で、12 年分の版にまたがると報じられております。どちらも、ログインしていない人に、自社で動かしている GitLab のサーバーで命令を実行される恐れがございます。GitLab.com と GitLab Dedicated は修正済みとされております。

分野: 開発の基盤
報じた媒体: 21
最初の報道: 10月13日
最新の報道: 11月1日

何が怖いのか

コード置き場のサーバーには、製品のソースコードだけでなく、クラウドやデータベースにつなぐための鍵も置かれがちでございます。乗っ取られると、そこから会社のほかのシステムへ広がります。
10 月 12 日の修正を当てたサーバーも、10 月 21 日の欠陥には対象のままでございます。「この前更新したから大丈夫」が通じません。
悪用の報告はまだないとされておりますが、うまく乗っ取られても気づきにくいと GitLab は注意しております。

あなたは関係ありますか

こんな方	確かめること
自社で GitLab（Self-Managed）を動かしている方	版が 19.5.1・19.4.3・19.3.6（または 19.2.9・19.1.9・19.0.10・18.11.13）以降か。18.10 以前なら、まず新しい系列へ移す必要がある
GitLab.com や GitLab Dedicated だけを使っている方	利用者側でやることはないとされている

作っている・管理しているみなさまが、いますぐなすべきこと

上の修正版へすぐ更新する。代わりの一時しのぎは公式には無いとされております。
更新の前に、公開しているプロジェクトに見覚えのないファイルや変更がないか、サーバーの記録を確かめる。
GitLab に置いていた鍵（CI の変数、デプロイ用の鍵）を作り直すことも考える。

備えに使える道具

サーバーやコード置き場の管理画面は、盗まれた合言葉だけでは入れない物理キーで守り、作り直した鍵はパスワード管理の道具の保管庫へ。

物理キー（セキュリティキー）は、なぜ要るのか →パスワードが盗まれても、手元の鍵がなければ入れない
パスワード管理の道具は、なぜ要るのか →1 つの流出を、ほかのサービスに広げない。偽サイトでは自動で入力しない

みなさまの報告

対象だった方、対処を終えた方は押してください。数が、まだ気づいていない人へのお知らせになります。

報道（26本）

GitLab flaw rated 10 of 10 is now under attack2-Spyware11/1
GitLab CVE-2026-97229: CVSS 10.0 Joins CISA KEV [2026]https://tech-insider.org/10/31
CISA Adds Actively Exploited GitLab RCE and Cisco Firewall DoS Flaws to KEVThe Hacker News10/30
Attacker Tried to Exploit Alpine Linux’s GitLab via CVSS 10.0 Flaw Its Ruby Left OpenThe Hacker News10/29
GitLab RCE Hits CVSS 10.0, 7 Branches Patched [2026]shattered.io10/28
GitLab Patches Two Critical 9.9 RCE Flaws in Regex EngineTechJuice10/26
GitLab patches critical vulnerability that allows code executionTechzine Global10/23
GitLab patches 12-year-old max-severity RCE bug; self-managed users must upgrade nownews.lavx.hu10/23
CVE-2026-110264: Critical GitLab RCE Flaw Affects 12 Years of ReleasesSOC Prime10/22
GitLab warns of new max severity code execution vulnerabilityBleepingComputer10/22
Max-severity GitLab bug allows remote code execution over 12 years of releasesThe Register10/22
GitLab CVE-2026-110264 vulnerability, CVSS 10 in 12 years of releasesPasquale Pillitteri10/22
GitLab has released security patches for 12 vulnerabilities, including one of the most critical vulnerabilities that could allow arbitrary code execution.GIGAZINE10/22
Critical GitLab Flaw (CVSS 10.0) Could Allow Unauthenticated RCE Across 12 Years of ReleasesThe Hacker News10/21
12-Year-Old GitLab Vulnerability Allows Remote Code Execution on Self-Managed ServerCyberSecurityNews10/21
GitLab AI Gateway Flaw: CVE-2026-90970 CVSS 9.9shattered.io10/21
GitLab Releases Emergency Patch for Unauthenticated RCE Flaw With Perfect CVSS Score, Affecting 12 Years of VersionsBigGo Finance10/21
GitLab Patches Critical 10.0 RCE Vulnerability Allowing Unauthenticated Remote Code ExecutionGBHackers News10/21
GitLab Fixes Maximum-Severity Bug Allowing Code ExecutionTechJuice10/21
Patch now! GitLab publishes fixes for perfect-10 vulnerability CVE-2026-97229Cyber Daily10/15
GitLab Fixes CVSS 10 Flaw in CI/CD Regex Engine, Plus 23 Other VulnerabilitiesDevOps.com10/14
GitLab Patches CVSS 10.0 Flaw That Could Let Unauthenticated Users Run Server CodeThe Hacker News10/13
GitLab admins urged to patch critical RCE flaw (CVE-2026-97229)Help Net Security10/13
GitLab patches critical CVSS 10.0 flaw allowing unauthenticated code executionTecherati10/13
GitLab patches 10.0 flaw in its CE and EE products | newsSC Media10/13
Warning: Critical vulnerability in GitLab CE/EE, Patch Immediately!CCB Belgium10/13

本文は、本観測所が報道の見出しで確かめられたことだけをまとめたものでございます。版や期間などの細かな条件は、必ず開発元・提供元の公式の発表でご確認ください。報道の一覧は 1 時間ごとに取り直しております。