GitLab、リモートコード実行を許す高リスクな脆弱性に警告
ソフトウェア開発プラットフォームのGitLabは、正規表現コンパイラ（Regular Expression Compiler）における極めて深刻な脆弱性に対処するため、緊急のセキュリティアップデートをリリースしました。この脆弱性は、認証されていない攻撃者が脆弱なサーバー上でリモートから任意のコードを実行することを可能にします。
この脆弱性にはCVE-2026-110264という識別子が割り当てられており、HackerOneプラットフォームを通じたバグ報奨金プログラムにより、joaxcarというハンドルネームのセキュリティ研究者によって発見されました。このセキュリティ上の問題は、設定ファイル内の正規表現を解析および検証するバックエンドの正規表現エンジン内での整数オーバーフロー（integer overflow）エラーに起因しています。
影響を受けるバージョンと必要な対策
同社は、GitLab Community Edition（CE）およびEnterprise Edition（EE）のバージョン19.5.1、19.4.3、19.3.6、19.2.9、19.1.9、19.0.10、18.11.13でこの欠陥を修正しました。同社はすべてのユーザーおよび管理者に、リスクを回避するために直ちにアップデートを行うよう警告しています。
同社は、GitLab.comプラットフォームには既にアップデート済みのバージョンが適用されていると説明しました。また、GitLab Dedicatedのサブスクライバーについては、19.3.5-internal0および19.4.2-internal0以降のバージョンでアップデートが適用されており、追加の措置は不要です。
なぜこのニュースが重要なのか
今回の脆弱性は、主要な開発プラットフォームにおける正規表現解析コンポーネントに関連するリスクの増大を浮き彫りにしています。脅威監視ネットワークであるShadowserverの報告によると、インターネット上に公開されているGitLabコミュニティサーバーは2700台以上に上ります。この脆弱性は、同プラットフォームで最近発見された他の深刻な脆弱性に続くものであり、その危険性がさらに高まっています。これには、CI/CD（継続的インテグレーション/継続的デリバリー）システムにおける正規表現エンジンに関連するCVE-2026-97229や、米国のサイバーセキュリティ機関であるCISAが実際の攻撃で悪用を確認した以前の脆弱性CVE-2026-85706などが含まれます。