平素よりConoHa VPSをご利用いただき、誠にありがとうございます。

このたび、セルフホスト型で広く利用されている「GitLab」において、複数の脆弱性が報告されました。これらの脆弱性を悪用されると、未認証の第三者によるサーバー上の任意ファイルの読み取りや、認証済みユーザーによる設定・認証情報への不正アクセス、リモートコード実行が行われるおそれがあります。
その結果、リポジトリ情報の漏えいやサーバーの不正な制御といった深刻なリスクが発生する可能性がございます。

ConoHa VPS上で対象のGitLabをご利用のお客様におかれましては、内容をご確認いただき、速やかに修正済みバージョンへのアップデートを実施いただけますようお願い申し上げます。

【脆弱性の概要】

① リポジトリcommits APIにおけるパストラバーサルの脆弱性（GitLab CE/EE対象）
パス制限および認証チェックの不備により、未認証のユーザーがGitLabサーバー上の任意のファイルを読み取れる可能性があります。

② GraphQL Subscriptionにおける安全でないデシリアライズの脆弱性（GitLab EEのみ対象）
Duo Chatへのアクセス権を持つ認証済みユーザーが、特別に細工したGraphQL Subscriptionの引数を用いてシリアライズ制限を回避し、Advanced Searchの設定情報・認証情報にアクセスできる可能性があります。

③ Unicode変換処理におけるバッファオーバーフローの脆弱性（GitLab EEのみ対象）
認証済みユーザーが特別に細工したGitプロジェクトをインポートすることで、Unicode変換用バッファをオーバーフローさせ、リモートコード実行（RCE）に至る可能性があります。

CVE番号：
CVE-2026-85706（深刻度：Critical／CVSS：10.0）※上記①
CVE-2026-87719（深刻度：Critical／CVSS：9.9）※上記②
CVE-2026-88765（深刻度：High／CVSS：8.5）※上記③

【影響】
リモートからの任意ファイル読み取り、設定・認証情報への不正アクセス、リモートコード実行
※CVE-2026-85706は未認証の第三者から実行可能です。CVE-2026-87719・CVE-2026-88765は、GitLab EEをご利用でDuo Chatへのアクセス権・プロジェクトインポート権限を持つ認証済みユーザーが起点となる想定です。

【対象となるお客様】
ConoHa VPSをご利用中のお客様で、サーバー内に以下のバージョンのGitLabをインストールし、該当の環境を利用されているお客様。

・GitLab CE/EE 18.7以上、19.1.8未満（CVE-2026-85706が対象）
・GitLab EE 18.3以上、19.1.8未満（CVE-2026-87719が対象）
・GitLab EE 12.3以上、19.1.8未満（CVE-2026-88765が対象）
・上記いずれも、19.2系列は19.2.6未満、19.3系列は19.3.2未満が対象

【対策方法】
対象のGitLabを、脆弱性が修正された以下の最新バージョンにアップデートしてください。

・19.3.2
・19.2.6
・19.1.8

※本脆弱性については、GitLab公式のパッチリリース情報において一時的な回避策の案内はなく、修正済みバージョンへのアップデートが唯一の対策として案内されています。アップデートが困難な場合は、影響を受ける機能（Duo Chat・Advanced Search・プロジェクトインポート等）の利用制限をご検討ください。

詳細な手順や最新情報については、以下の参考記事をご参照ください。

■参考URL（公式脆弱性情報）
GitLab Critical Patch Release: 19.3.2, 19.2.6, 19.1.8（GitLab公式）
https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-3-2-released/

今後ともConoHaをご愛顧賜りますよう、よろしくお願い申し上げます。