GitLab GraphQL の脆弱性 CVE-2026-19478 が FIX：公開プロジェクトの変更／削除が可能

Critical GitLab GraphQL Flaw Could Let Unauthenticated Attackers Delete Public Projects

2026/08/17 TheHackerNews — GitLab は、Community Edition (CE)／Enterprise Edition (EE) ソフトウェアに影響を及ぼす深刻な脆弱性に対処するセキュリティ・アップデートをリリースした。この脆弱性を悪用する未認証のリモート攻撃者は、特定の条件下において、公開プロジェクトやユーザー・データを変更／削除する可能性がある。この脆弱性 CVE-2026-19478 (CVSS 9.4) は、GitLab により Critical と評価されている。

2026年8月17日にリリースされた緊急パッチは、毎月第2／第4水曜日に実施される通常の月 2回のアップデート・スケジュールから外れて提供されたものである。8月12日に定例パッチがリリースされた 5 日後というタイミングで、今回の Critical 脆弱性が修正された。ユーザーによる対応が必要なのはセルフマネージド環境のみであり、修正版として19.2.4／19.1.6／19.0.8／18.11.11がすでに提供されている。

その一方で、GitLab.com／GitLab Dedicated ではパッチ適用済みバージョンがすでに稼働しているため、同社は「GitLab.com／GitLab Dedicated の顧客に対応は必要ない」と述べている。

影響を受けるバージョンは以下の通りである。

  • 18.2〜18.11.11未満の全バージョン
  • 19.0〜19.0.8未満の全バージョン
  • 19.1〜19.1.6未満の全バージョン
  • 19.2〜19.2.4未満の全バージョン

ただし、この修正は、影響範囲に含まれる18.2〜18.10ブランチには提供されない。GitLabは、「特定の条件下で、未認証ユーザーが GraphQL ディレクティブを介して、公開プロジェクトやユーザー・データをリモートから変更／削除する可能性がある問題を修正した」と述べている。

CVSS ベクターによれば、認証情報を持たない攻撃者がネットワーク経由で悪用でき、被害者側の操作も必要としない。また、GitLab は、関係する GraphQL ディレクティブの名称や悪用に必要となる具体的な条件を明らかにしておらず、同社のアドバイザリでは、いずれの脆弱性についても悪用事例は公表されていないとしている。2026年8月18日の時点で、この脆弱性に対する公開エクスプロイト・コードも、GitHub 上では確認されていない。

今回のリリースで修正されたもう 1 つの脆弱性 CVE-2026-19650 (CVSS 7.1) は、GitLab により High と評価されており、GraphQL multiplex query handler に存在するクロスサイト・リクエスト・フォージェリ (CSRF) 脆弱性である。前述の Critical 欠陥とは異なり、この脆弱性の悪用にはユーザー操作が必要となる。

GitLab は、「GraphQL multiplex query の処理における不適切なリクエスト検証により、特定の条件下で未認証ユーザーが GET リクエストを介して mutation を実行する可能性がある問題を修正した」と述べている。同社によると、今回のアップデートでは新たなデータベース・マイグレーションは導入されず、マルチノード展開環境でダウンタイムが必要になることも想定されていない。

今回の情報開示に先立つ2026年7月には、セルフマネージド・サーバに影響を及ぼす GitLab の別の脆弱性について、研究者が動作可能なエクスプロイト・コードを公開している。

同社によると、各脆弱性の詳細を記載した Issue は、修正リリースから 90日後に Issue Tracker 上で公開される。GitLab の2026年6月10日のパッチ・リリースでは、この期間は 30日だったため、2件の脆弱性に関する技術的な詳細は、2026年11月中旬ごろに公開される予定である。

開発支援ツールである GitLab CE/EE の緊急アップデート情報を解説する投稿です。通常スケジュール外で速報が提供された背景にあるのは、内部機能である GraphQL の検証処理における欠陥の深刻さです。該当箇所には CVE-2026-19478／CVE-2026-19650 の脆弱性が含まれており、悪用された場合には外部の第三者による公開プロジェクトやデータの変更／削除、ならびに不正なリクエスト実行といった被害が生じる恐れがあります。自身で運用サーバーを管理している場合は、公開済みの安全な修正版 (19.2.4 など) への速やかなアップデート作業が求められます。