GitLab、認証なしでRCEが可能になる重大な脆弱性を修正（CVE-2026-110264）

nosa

2026.10.22

[開く][閉じる]

GitLab、認証なしでRCEが可能になる重大な脆弱性を修正　過去12年間の全バージョンに影響（CVE-2026-110264）
Lazarus Group、マルウェア配布に耐量子計算機暗号（PQC）を利用

GitLab、認証なしでRCEが可能になる重大な脆弱性を修正　過去12年間の全バージョンに影響（CVE-2026-110264）

The Hacker News – Oct 21, 2026

GitLabは21日、攻撃者がログインせずにセルフマネージド（自己管理型）サーバー上で任意のコードを実行できる脆弱性を修正した。

CVE-2026-110264として追跡され、CVSSスコアで最大値の10.0と評価されているこのバグは、2014年にリリースされたバージョン7.0以降の全バージョンに影響を及ぼすという。GitLabによると、特定の条件下で特別に細工された正規表現のコンパイル時に整数オーバーフローが発生し、認証されていないユーザーにサーバー上で任意のコード実行を許す恐れがあるとのこと。「特定の条件」に関する詳細は明らかにされていない。

GitLabは今回の修正について、深刻な問題に対してのみ行われる措置として、通常のサポート対象範囲（19.5、19.4、19.3）外の18.11.13、19.0.10、19.1.9、19.2.9にもバックポートしたと述べている。対応が必要なのはセルフマネージド型の環境のみとされ、GitLab.comはすでに修正済みのバージョンで稼働。GitLab Dedicatedのテナントについても、内部リリース「19.3.5-internal0」および「19.4.2-internal0」以降のバージョンではすでに修正が適用されている。

なお、The Hacker Newsが報じた時点で攻撃に悪用された形跡はなく、米サイバーセキュリティ・インフラストラクチャ・セキュリティ庁（CISA）のKEV（悪用が確認済みの脆弱性）カタログにも記載されていないようだ。

GitLabの正規表現エンジンにおけるコード実行の脆弱性として、これは同一の研究者（ハンドルネーム：joaxcar）がこの1か月に報告したCVE-2026-97229、CVE-2026-93577、CVE-2026-89078に続く4件目の事例となる。また、バージョン19.2より前のバージョンにまで影響が及ぶものとしては、今回が初めてとされている。

Lazarus Group、マルウェア配布に耐量子計算機暗号（PQC）を利用

BleepingComputer – October 21, 2026

新旧のマルウェアを組み合わせた新たな攻撃活動において、北朝鮮のハッカーグループが有害ペイロードの安全な配布に耐量子計算機暗号（PQC）の仕組みを利用していることが判明した。

この攻撃キャンペーンは韓国の組織を標的としており、「非常に複雑」な感染チェーンを伴うものと説明されている。サイバーセキュリティ企業カスペルスキーの研究者は、この一連の活動を「FlashHole」と命名し、Lazarus Groupによるものと特定。さらにFlashHoleをより広範な「Cascade Hole」活動の一環と位置付け、以前確認された「Operation SyncHole」とも関連性がある旨を指摘した。

カスペルスキーによると、攻撃者は標準化された耐量子計算機暗号アルゴリズム「ML-KEM」をコマンド＆コントロール（C2）インフラとの通信に使用。Lazarus Groupに関連があるとされるマルウェア「LPEClient」を使い、C2インフラから「ML-KEM-1024」の公開鍵を取得した上で、これを利用して共有鍵を生成し、後から送られてくるペイロードを復号していたという。

この攻撃は2025年7月に開始され、フィッシングページを通じて特別に細工されたGitHubページへ標的を誘導する手法が取られていたようだ。これらのGitHubページは外部ドメインからJavaScriptコードを読み込んでメモリ内実行チェーンを開始させており、その過程において韓国で広く利用されているセキュリティツール「INISAFE CrossWeb EX」が悪用されていた。また、新たなマルウェアClientHubおよびCubridgeの使用も観測されている。

カスペルスキーは韓国国内の少なくとも3社（ソフトウェア、建設、有線通信機器製造の各部門）が被害に遭っていることを確認したものの、実際にはより多くの組織が影響を受けている可能性があるとみている。

ML-KEMは米国国立標準技術研究所（NIST）が承認した標準規格であり、HNDL（今データを盗み、後で解読）攻撃からデータを保護する手段として、さまざまなソフトウェアプロジェクトで採用されている。