GitLab 19.3.2・19.2.6・19.1.8公開、重大な脆弱性を修正—セルフマネージド版は早急な更新を

GitLabは2026年9月10日、Community Edition（CE）とEnterprise Edition（EE）向けに、バージョン19.3.2、19.2.6、19.1.8を公開しました。重要なバグ修正とセキュリティ修正を含むため、GitLabは影響を受けるセルフマネージド環境をできるだけ早く更新するよう強く推奨しています。

みつた

こんにちは。GitLab 19.3.2、19.2.6、19.1.8が公開され、Critical 2件を含む18件の脆弱性が修正されました。影響を受けるセルフマネージド環境は、早急な更新が推奨されています。

この記事のチェックポイント

GitLab CE／EE 19.3.2、19.2.6、19.1.8が2026年9月10日に公開された
深刻度Criticalの2件を含む、計18件のセキュリティ問題が修正された
影響を受けるセルフマネージド環境には、対応する最新パッチへの早急な更新が推奨されている
GitLab.comには修正版が適用済みで、GitLab Dedicatedの利用者は対応不要
データベース移行を含むため、単一ノード環境では更新時にダウンタイムが発生する

GitLabがクリティカルパッチを公開

GitLabは2026年9月10日、GitLab Community Edition（CE）およびEnterprise Edition（EE）向けに、以下のパッチバージョンを公開しました。

GitLab 19.3.2
GitLab 19.2.6
GitLab 19.1.8

これらのバージョンには、重要なバグ修正とセキュリティ修正が含まれています。GitLabは、後述する問題の影響を受けるすべてのセルフマネージド環境について、該当する最新バージョンへ直ちにアップグレードすることを強く推奨しています。

GitLab.comにはすでに修正版が適用されています。GitLab Dedicatedの利用者は対応する必要がありません。

また、特定の導入方式が明記されていない問題については、Omnibus、ソースコード、Helm Chartなど、すべての導入方式が影響を受けます。

修正されたセキュリティ問題

今回のパッチでは、Criticalが2件、Highが6件、Mediumが9件、Lowが1件修正されています。

Critical：リポジトリコミットAPIのパストラバーサル

CVE-2026-85706／CVSS 10.0

リポジトリコミットAPIにおけるパス制限と認証の不備により、特定の条件下で、認証されていないユーザーがGitLabサーバー上の任意のファイルを読み取れる可能性がありました。GitLab CE／EEが影響を受けます。

影響するバージョンは次の通りです。

18.7以降、19.1.8未満
19.2以降、19.2.6未満
19.3以降、19.3.2未満

Critical：GraphQLサブスクリプションの安全でないデシリアライズ

CVE-2026-87719／CVSS 9.9

Duo Chatへのアクセス権を持つ認証済みユーザーが、細工したGraphQLサブスクリプション引数を使ってシリアライズ処理を回避し、Advanced Searchのインスタンス設定や機密認証情報を取得できる可能性がありました。GitLab EEが影響を受けます。

影響するバージョンは次の通りです。

18.3以降、19.1.8未満
19.2以降、19.2.6未満
19.3以降、19.3.2未満

High：Unicode変換ラッパーのバッファオーバーフロー

CVE-2026-88765／CVSS 8.5

認証済みユーザーが細工したGitプロジェクトのエクスポートをインポートすることで、Advanced Searchのインデックス作成に使われるUnicode変換バッファをオーバーフローさせ、リモートコード実行に至る可能性がありました。GitLab EEが影響を受けます。

影響するバージョンは、12.3以降19.1.8未満、19.2以降19.2.6未満、19.3以降19.3.2未満です。

High：保護されたCI/CD変数へのアクセス

CVE-2026-79708／CVSS 8.5

Developer権限を持つ認証済みユーザーが、グループ内のプロジェクトでポリシーテスト用パイプラインを実行し、本来は上位権限に限定された保護対象のCI/CD変数へアクセスできる可能性がありました。GitLab EEが影響を受けます。

影響するバージョンは、19.0以降19.1.8未満、19.2以降19.2.6未満、19.3以降19.3.2未満です。

High：Markdown JSONテーブルのクロスサイトスクリプティング

CVE-2026-78252／CVSS 8.2

Markdown JSONテーブルレンダラーにおけるユーザー制御データのサニタイズ不備により、認証済みユーザーが対象ユーザーに意図しない状態変更HTTPリクエストを実行させる可能性がありました。GitLab CE／EEが影響を受けます。

影響するバージョンは、15.3以降19.1.8未満、19.2以降19.2.6未満、19.3以降19.3.2未満です。

High：CI/CD環境変数のスコープ判定不備

CVE-2026-13210／CVSS 7.7

環境スコープのパターンマッチャーにおける入力検証の不備により、認証済みユーザーが想定された環境スコープ外のCI/CD変数へアクセスできる可能性がありました。GitLab CE／EEが影響を受けます。

影響するバージョンは、15.7以降19.1.8未満、19.2以降19.2.6未満、19.3以降19.3.2未満です。

High：GraphQL複雑性制限に関するサービス拒否

次の2件は、GraphQLの複雑性計算ロジックにおけるリソース割り当て制限の不備により、認証されていないユーザーがサービス拒否を引き起こせる可能性があった問題です。

CVE-2025-14871／CVSS 7.5
CVE-2026-1168／CVSS 7.5

GitLab CE／EEが影響を受けます。影響するバージョンは、18.4.6以降19.1.8未満、19.2以降19.2.6未満、19.3以降19.3.2未満です。

MediumおよびLowの修正

このほか、以下の問題が修正されています。

Medium

CVE-2024-11222／CVSS 6.4：マージリクエストのパイプライン作成における競合状態
CVE-2026-12910／CVSS 5.4：SAML SSOサインイン制限の認証チェック不備
CVE-2026-82837／CVSS 5.3：Workhorse senddata emitterにおける認証情報やトークンの保護不足
CVE-2026-19619／CVSS 4.7：Content Editorへ貼り付けられたHTMLのサニタイズ不備によるクロスサイトスクリプティング
CVE-2026-86341／CVSS 4.4：保護された環境の承認ルールにおけるアクセス制御の不備
CVE-2026-86340／CVSS 4.4：保護された環境の必須デプロイ承認を回避できる問題
CVE-2026-7514／CVSS 4.3：Generic Package Registryの認可不備
CVE-2026-8030／CVSS 4.3：Namespace Transferにおける入力検証の不備
CVE-2026-16794／CVSS 4.3：Compliance Framework管理における認可不備

Low

CVE-2026-3855／CVSS 3.1：Terraform State APIのパラメーター検証不備により、制限されたファイル内容へのアクセスやサービス拒否が発生する可能性

バグ修正と依存コンポーネントの更新

19.3.2、19.2.6、19.1.8には、セキュリティ問題以外のバグ修正も含まれています。空のパーティション範囲によってパイプライン検索がクラッシュする問題の修正や、websocket-driver、concurrent-ruby、Alertmanager、NGINX、Redis、PostgreSQL、Consulなどの更新が挙げられています。

Goは19.3.2と19.2.6で1.26.7、19.1.8で1.25.14へ更新されています。19.3.2ではRubyが3.3.11から3.3.12へ更新されました。