GitLab CE／EE の 8件の脆弱性が FIX：悪意のスクリプト注入や認証情報漏洩の恐れ

GitLab Patches Eight Security Vulnerabilities Across Community and Enterprise Editions

2026/07/09 CyberSecurityNews — GitLab が公表したのは、Community Edition (CE)／Enterprise Edition (EE) に存在する、8 件の脆弱性に対処する重要なセキュリティ更新のリリースである。同社はユーザーに対して、速やかなアップグレードにより、潜在的なリスクを軽減するよう促している。2026年7月8日に公開された、最新のパッチ・バージョン 19.1.2／19.0.4／18.11.7 は、プラットフォームの複数のコンポーネントに影響を及ぼす、高深刻度／中深刻度／低深刻度の脆弱性を修正するものだ。

セルフマネージド型のインストールが、更新されていない場合にはリスクが残る。その一方で、すでに GitLab.com では、パッチ適用済みバージョンが稼働していることを同社は確認している。

また、GitLab Dedicated の顧客は影響を受けず、対応は不要である。GitLab は通常のリリース・サイクルの一環として、月 2 回の定期パッチに加えて、Critical 脆弱性に対する臨時更新を提供している。

GitLab が 8 件のセキュリティ脆弱性にパッチを適用

修正された脆弱性の中で深刻度 High と評価されているのは、クロスサイト・スクリプティング (XSS) 脆弱性 CVE-2026-6896 である。

この問題は GitLab EE に影響し、developer レベルのアクセス権を持つ認証済み攻撃者であれば、別のユーザーのブラウザ・セッションに対して、悪意のスクリプトを注入する可能性を得る。

根本的な原因は、”vulnerability evidence table renderer” における、ユーザー提供入力に対する不適切なサニタイズにある。CVSS スコアは 8.7 であり、悪用に成功した攻撃者は、データ露出またはセッション・ハイジャックを引き起こす可能性がある。

もう 1 つの深刻度 High の脆弱性 CVE-2026-13320 は、ウィキ・マークアップのレンダリングにおける HTML インジェクションに関係する。この脆弱性は CE／EE のバージョンに影響を及ぼす。特定の条件下における攻撃者が、被害者のブラウザ内で任意のスクリプトを実行する可能性がある。

この脆弱性の悪用には、高権限とユーザー操作が必要であるが、共有コンテンツへ頻繁にアクセスするコラボレーション環境では、重大な脅威となる。

Medium レベルの複数の脆弱性も修正されている。注目すべき欠陥の 1 つである CVE-2026-11827 は、GitLab EE のリポジトリ・ミラーリングに影響を及ぼす。この脆弱性を悪用する maintainer レベルの権限を持つ攻撃者は、不十分な保護メカニズムをバイパスして、保存されている認証情報へアクセスする可能性がある。

別の脆弱性 CVE-2026-8472 は、work items における不適切なアクセス制御に関係し、プライベート・プロジェクトのメタデータを、不特定多数のユーザーに露出させる可能性がある。

さらに、脆弱性 CVE-2026-7492 にもパッチが適用されている。この脆弱性は認可欠如に起因するものであり、コミット・ディスカッションへの参照を通じて未認証のユーザーが、プライベート・プロジェクトの存在を推測する可能性がある。機密性の高いデータを直接露出するものではないが、このような情報漏洩は、脅威アクターの偵察活動を助ける可能性がある。

低深刻度の問題としては、脆弱な認可および曖昧な参照に関する欠陥が修正されている。たとえば、脆弱性 CVE-2025-12506 は、Git 参照の不適切な処理により、表示されるリポジトリ・コンテンツとダウンロード可能なリポジトリ・コンテンツの間に、不一致を生じさせる可能性がある。

その他の脆弱性には、グループ設定およびコンプライアンス管理機能における不正確な認可チェックが含まれ、特定の条件下で不正な変更を可能にする可能性がある。

このリリースでは、セキュリティ修正に加えて、複数のバグ修正とパフォーマンス改善も対処されている。具体的には、OAuth アプリケーション処理の更新／メモリリークの解消／Go バージョン 1.25.11 へのアップグレードなどが含まれる。

この更新にはデータベース・マイグレーションが含まれており、単一ノードのデプロイメントではダウンタイムが発生する可能性がある。その一方で、複数ノード環境では、ゼロ・ダウンタイム手順を使用することで、最小限の中断でアップグレードできる。

GitLab が強調するのは、強固なセキュリティ衛生の維持の重要性である。すべてのユーザーに対して推奨されるのは、可能な限り早急に、最新のパッチ適用済みバージョンへとアップグレードすることだ。

訳者後書：開発現場での共同作業やプロジェクト管理に欠かせない GitLab ですが、画面表示の制御や権限の確認処理に予期せぬ隙が生まれることがあります。今回の GitLab の発表は、CVE-2026-6896／CVE-2026-13320 などの複数の脆弱性により、リモートからの不正なコード実行やデータ漏洩などが引き起こされる恐れがあります。提供されている公式の修正プログラムを速やかに適用し、プラットフォームを常に最新の状態に保つ対策が大切になります。よろしければ、GitLab での検索結果も、ご参照ください。