本文へ移動

脆弱性最大深刻度10.0・修正版あり補足

GitLabに別の最大深刻度の欠陥　10月21日の修正版を確認

CVE-2026-110264は認証なしでサーバー上のコードを実行されるおそれ。先に公表された別の欠陥とは修正版が異なり、独自Rubyを使う環境ではRuby側の更新も必要です。

対象となる人

GitLab CE/EEを自社運用する管理者。7.0以降の対象版で、10月21日公表の各系列の修正版に達していない環境を確認してください。1 2

今すべきこと

公式の案内

GitLabを各系列の修正版以降へ更新。独自Ruby環境ではRuby 3.3.13／3.4.12／4.0.9以降も確認してください。1 2

初回公表: 2026.10.21
参照情報の更新: 2026.10.23
当サイトの確認: 2026.11.01

#GitLab #Ruby #開発環境 #CVE-2026-110264

押さえたい、3つのポイント

認証なしでコード実行のおそれ
細工された正規表現を処理する際の整数オーバーフローが原因。特定条件下で認証なしにサーバーを不正操作されるおそれがあり、CVSS 3.1は最大の10.0です。1
先の修正版とは番号が違う
既報のCVE-2026-97229と今回のCVE-2026-110264は別です。19.4系列では19.4.2ではなく19.4.3で今回の欠陥を修正しています。1 2
独自Rubyにも対応が必要
GitLab公式配布版は同梱Rubyを修正。別途Rubyを組み合わせる環境では、Ruby 3.3.13／3.4.12／4.0.9以降への更新も確認してください。2

公式ソースを確認する

1GitLab：10月21日の修正版と対象バージョン ↗docs.gitlab.com
2Ruby：GitLab関連4件の修正一覧（10月23日） ↗www.ruby-lang.org

𝕏 でシェア

もう少し詳しく

GitLabの修正境界: 18.11.13、19.0.10、19.1.9、19.2.9、19.3.6、19.4.3、19.5.1で修正。7.0以降の対象版が影響を受けます。GitLab.comは修正済み、Dedicatedは公式案内の対象テナントで対応済みです。1
悪用は確認されている？: 確認した公式原文には、今回のCVEの実悪用確認は記載されていません。別のCVE-2026-97229に対する悪用確認を、今回の欠陥へ流用しません。1 2

初報は10月21日、Rubyの補足は10月23日。系列ごとの対象範囲はGitLab公式表を参照。CVSS10.0はすべての環境での被害発生を示す数字ではありません。