GitLabが緊急パッチを公開
ソフトウェア開発プラットフォームであるGitLabは、高 severity の二要素認証（2FA）バイパスを含む複数の深刻な脆弱性に対応するため、緊急パッチをリリースしました。
二要素認証（2FA）バイパスの脅威
今回修正された脆弱性の中で最も注目すべきは、CVE-2026-0723として追跡される2要素認証バイパスです。この脆弱性は、GitLabの認証サービスにおける unchecked return value の不備に起因し、攻撃者がターゲットのアカウントIDを知っている場合、2FAを迂回できる可能性がありました。
「GitLabは、既存の被害者の認証情報IDの知識を持つ個人が、偽造されたデバイス応答を提出することで、二要素認証をバイパスできる可能性があった問題を修正しました。」
と、同社は説明しています。
複数のサービス拒否（DoS）脆弱性
さらに、GitLab CE/EEに影響を与える複数の高 severity のサービス拒否（DoS）脆弱性も対処されました。これらには以下のものが含まれます：
- CVE-2025-13927：不正な形式の認証データを含むリクエストを送信することで、認証されていない攻撃者がDoS状態を引き起こす可能性。
- CVE-2025-13928：APIエンドポイントにおける不適切な認証検証を悪用し、DoS状態を引き起こす可能性。
また、中 severity のDoS脆弱性も2件修正されました。
- CVE-2025-13335：サイクル検出を迂回する不正な形式のWikiドキュメントを設定することで悪用可能。
- CVE-2026-1102：繰り返し不正な形式のSSH認証リクエストを送信することで悪用可能。
推奨される対応と影響範囲
これらのセキュリティ欠陥に対処するため、GitLabはバージョン18.8.2、18.7.2、および18.6.4をGitLab Community Edition (CE) および Enterprise Edition (EE) 向けにリリースしました。管理者は、できるだけ早く最新バージョンにアップグレードすることが強く推奨されています。
「これらのバージョンには重要なバグ修正とセキュリティ修正が含まれており、すべてのセルフマネージド型GitLabインストールを直ちにこれらのバージョンのいずれかにアップグレードすることを強く推奨します。」
とGitLabは付け加えています。GitLab.comはすでにパッチが適用されたバージョンで稼働しており、GitLab Dedicatedの顧客は行動を起こす必要はありません。
インターネットセキュリティ監視団体のShadowserverは現在、約6,000のGitLab CEインスタンスがオンラインに公開されていることを追跡しており、ShodanはGitLabのフィンガープリントを持つ45,000以上のデバイスを発見しています。昨年6月にも、GitLabは高 severity のアカウント乗っ取りおよび認証欠落のセキュリティ問題を修正し、顧客に緊急のアップグレードを促していました。
GitLabのDevSecOpsプラットフォームは、3,000万人以上の登録ユーザーを抱え、Fortune 100企業の50%以上（Nvidia、Airbus、T-Mobile、Lockheed Martin、Goldman Sachs、UBSなど）で使用されています。