GitLab の脆弱性 CVE-2026-19478 が FIX：実環境での悪用試行を確認

Critical GitLab Code Injection Vulnerability Actively Exploited in Attacks

2026/08/21 CyberSecurityNews — 自己管理型 GitLab Community Edition／Enterprise Edition インスタンスに影響を及ぼす、認証を必要としない深刻なコード・インジェクションの脆弱性 CVE-2026-19478 (CVSS 9.4) の悪用試行をセキュリティ研究者が確認した。この脆弱性を悪用するリモート攻撃者は、GitLab の GraphQL インターフェイスを介して、公開プロジェクトおよび関連するユーザー・データを変更または削除する可能性がある。GitLab は通常のセキュリティ・リリース・スケジュールとは別に、2026年8月17日に緊急アップデートをリリースしており、GitLab の管理者には速やかなパッチ適用が求められる。

この問題は GraphQL ディレクティブの不適切な処理に起因し、認証やユーザー操作を必要とせずに特定の条件下で悪用される可能性があるため、インターネットに公開された GitLab 展開環境は大きなリスクにさらされる。

セキュリティ企業 watchTowr は、GitLab の公開アドバイザリとベンダーによるパッチ変更を分析し、情報開示から数分以内にこの脆弱性を再現したと報告した。研究者によると、実際の影響は GitLab が簡潔に説明している認証を必要としない変更／削除を超えるものであり、リポジトリの削除／マージ済みであるように見せかける関連レコードの作成／正規メンテナの公開プロジェクトからの排除などにつながる恐れがある。

GitLab のコード・インジェクション脆弱性で悪用活動を確認

すでに実環境での悪用を検知している watchTowr によると、同社の Attacker Eye ハニーポット・ネットワークは、情報開示の直後に脆弱性 CVE-2026-19478 への攻撃試行を記録している。この欠陥は認証前のアクセスを可能にし、リモート悪用の障壁も低いことから、公開された技術情報や PoC 活動により迅速に武器化される可能性が高い。それにより、外部公開された GitLab インスタンスが、攻撃者により迅速に探索されている状況にある。

この脆弱性の影響を受ける範囲は、GitLab CE／EE のバージョン 18.2〜18.11.10／19.0〜19.0.7／19.1〜19.1.5／19.2〜19.2.3 であり、GitLab は修正版ビルド 18.11.11／19.0.8／19.1.6／19.2.4 をリリースして、この問題に対処している。

自己管理型 GitLab を運用する組織には、遅滞のないアップグレードが求められているが、GitLab.com／GitLab Dedicated は修正済みであり、顧客側での対応は不要だとされる。即時アップグレードが運用上困難な場合は、パッチ適用が完了するまでの期間において、インターネットに公開されたインスタンスの特定／公開プロジェクトが有効化されているかの確認／ネットワーク制御またはリバース・プロキシによる GraphQL エンドポイントへのアクセス制限などを実施する必要がある。

セキュリティ・チームに求められるのは、最近の GraphQL の利用状況／リポジトリの削除／予期しないプロジェクトの変更／マージ・レコードへの不審な変更／説明のつかないメンテナ・アクセスなどを確認することである。すでに悪用試行が確認されているため、外部公開された状態でパッチ未適用の GitLab サーバは侵害された可能性があるものとして扱い、調査や復旧を行う前に関連ログを保存することが強く推奨される。

GitLab Community Edition と GitLab Enterprise Edition に存在する、GraphQL ディレクティブの不適切な処理に起因する脆弱性 CVE-2026-19478 が報告されました。認証なしで遠隔からコード・インジェクションを可能にする仕組みが問題の背景です。認証前のアクセスにより誰でも攻撃可能なためリスクは非常に高く、悪用された場合に生じ得るのは、リポジトリの削除／偽のマージ済みレコードの作成／メンテナの排除／プロジェクト・データの変更といった深刻な影響です。対応策として求められるのは、修正済みバージョンへの速やかなアップデート／一時的な GraphQL エンドポイントへのアクセス制限／影響範囲内のアクセスログの調査などです。