GitLab の 13 件の脆弱性が FIX：不正なデータ露出／CI/CD パイプラインの改ざん／DoS 攻撃などの恐れ

GitLab Patches 13 Security Flaws Enabling Data Exposure, CI/CD Tampering and DoS Attacks

2026/07/30 gbhackers — GitLab が公表したのは、Community Edition (CE) と Enterprise Edition (EE) に対するセキュリティ更新のリリースである。このアップデートで対処された 13 件の脆弱性は、不正なデータ露出／CI/CD パイプラインの改ざん／保護されたブランチのバイパス／サービス拒否 (DoS) 攻撃などを可能にし得るものだ。2026年7月29日にリリースされた一連のアップデートは、GitLab バージョン 19.2.1／19.1.3／19.0.5 として提供されている。

自己管理型インスタンスを運用している組織に対して、GitLab が強く推奨するのは、上記のバージョンへの速やかなアップグレードである。GitLab.com に関しては、すでにパッチ適用済みリリースで稼働しているため、GitLab Dedicated の顧客は対応する必要がない。

GitLab が 13 件のセキュリティ欠陥にパッチを適用

3 件の脆弱性は、深刻度 High と評価されている。最も重大な CVE-2026-6267 (CVSS 8.5) は、GitLab Workhorse の内部リクエスト処理に影響するものだ。不十分なアクセス制御を突く Developer ロールを持つ認証済みユーザーは、情報への不正アクセスが可能になる。

2 つ目の CVE-2026-12436 (CVSS 8.4) は、Pipeline Schedule API に影響を及ぼす。ユーザーが提供する属性の不適切な検証を突く認証済みの攻撃者が、別ユーザーに関連付けられた CI/CD コンフィグを変更する可能性がある。

ソフトウェア・サプライチェーンのコンテキストでは、パイプライン・スケジュールやパラメーターの不正な変更により、自動化されたビルド／テスト／デプロイメントのアクティビティが操作される経路が生じ得る。

3 つ目の深刻度 High の脆弱性 CVE-2026-15975 (CVSS 7.5) は、merge request discussions 内の未認証 DoS 問題である。不十分なリソース制限の問題を突くリモート攻撃者が、特別に細工したリクエストを送信することで、サーバリソースを枯渇させる可能性がある。

GitLab EE デプロイメントでは、脆弱性 CVE-2026-13113 に対する優先的アップグレードも必要となる。この問題は、merge request approval rule processing における競合状態を引き起こすものだ。この脆弱性を悪用する認証済みユーザーは、必要な承認を得ることなく、保護されたブランチに対してコードをマージする可能性がある。それにより、コード・レビューやブランチ・プロテクションの制御が損なわれる。

このリリースでは、project imports／pipeline test reports／merge request collaboration settings／confidential issue titles の生成に影響を及ぼす、複数のアクセス制御上の弱点も対処されている。

これらの脆弱性により、インポート・ソース／テスト・レポート／機密メタデータなどの詳細が露出する可能性がある。また、ユーザーのプロジェクト・メンバーシップが取り消された後であっても、これらの悪意の変更が可能になる恐れがある。

2 つの GitLab Duo 機能も影響を受けている。脆弱性 CVE-2026-15077 は Duo Code Review におけるプロンプト・インジェクション問題であり、認可されていないプロジェクトから情報が露出する可能性がある。CVE-2026-15831 は、セキュリティ・トークン生成の欠陥であり、Duo Workflows において管理者が設定したガバナンス・ポリシーに対するバイパスが生じる恐れがある。

CVE の詳細
CVESeverity / CVSSAffected Product
CVE-2026-6267High / 8.58.5CE/EE
CVE-2026-12436High / 8.48.4CE/EE
CVE-2026-15975High / 7.57.5CE/EE
CVE-2026-13113Medium / 6.56.5EE
CVE-2026-16553Medium / 5.45.4EE
CVE-2026-6336Medium / 5.35.3CE/EE
CVE-2026-14341Medium / 4.94.9CE/EE
CVE-2026-3093Medium / 4.74.7CE/EE
CVE-2026-15077Medium / 4.34.3EE
CVE-2026-15831Medium / 4.34.3EE
CVE-2026-14351Medium / 4.34.3CE/EE
CVE-2026-4672Medium / 4.34.3CE/EE
CVE-2025-14562Low / 3.13.1CE/EE

セキュリティ・チームにとって必要なことは、すべての GitLab CE／EE インスタンスを特定し、インストール済みバージョンを確認した上で、サポートされるリリース・トラックに応じて 19.2.1／19.1.3／19.0.5 へと更新することだ。

管理者に求められるのは、悪用の試行を示す兆候を追跡するために、最近の pipeline schedule modifications／protected branch merges／project imports／merge request discussions における異常なアクティビティを確認することである。

訳者後書：GitLab において、内部のアクセス制御や検証処理の不備に起因する、複数の脆弱性 CVE-2026-6267／CVE-2026-12436／CVE-2026-15975 などが公表されました。この問題は、ユーザーからの入力検証やリソース管理が不十分なことに起因しています。悪用に成功した攻撃者が、非公開情報の閲覧や CI/CD 設定の不正書き換えを行い、さらには承認ルールを回避したコードの追加やシステムの応答停止を引き起こす恐れがあります。対応策として、修正パッチを含む最新バージョンへの更新と異常なログの確認が有効です。システムを安全に利用するためにも、速やかにアップデートを実施することが推奨されます。