概要
GitLab CE/EEの特定のバージョンに、認証されたユーザーが公開プロジェクト内で作成された機密性の高い課題タイトルに不正にアクセスできる可能性がある脆弱性（CVE-2026-1182）が存在すると報告されています。この問題は、情報が保存または転送される前に機密情報が適切に削除されないことに起因します。
影響範囲
本脆弱性の影響を受けるのは、以下のGitLab CE/EEのバージョンです。
- バージョン 8.14 から 18.7.6 未満
- バージョン 18.8 から 18.8.6 未満
- バージョン 18.9 から 18.9.2 未満
上記以外のバージョン、または修正済みバージョンにアップデート済みの場合は、この脆弱性の影響を受けません。
想定される影響
本脆弱性が悪用された場合、以下のような影響が想定されます。
- 認証された攻撃者が、公開プロジェクト内で「機密」として設定された課題のタイトルを閲覧できる可能性があります。
- これにより、本来非公開であるべき情報が意図せず露呈し、プロジェクトの機密性が損なわれる恐れがあります。
攻撃成立条件・悪用状況
本脆弱性の悪用には、GitLabへの認証されたユーザーアカウントが必要です。特定の状況下で、公開プロジェクト内の機密課題タイトルへの不正アクセスが可能になると報告されています。現時点では、具体的な悪用状況や概念実証（PoC）の公開については情報が提供されていません。
推奨対策
今すぐできる対策（優先度：高）
GitLab CE/EE を以下の修正済みバージョンに速やかにアップデートしてください。
- バージョン 18.7.6 以降
- バージョン 18.8.6 以降
- バージョン 18.9.2 以降
アップデート手順については、GitLabの公式ドキュメントを参照してください。
中長期的な対策
- 定期的なセキュリティアップデートの適用を運用プロセスに組み込み、常に最新の状態を維持するよう努めてください。
- GitLabのアクセス権限設定を定期的に見直し、最小権限の原則を徹底することで、万が一の際の影響範囲を限定することが重要です。
一時的な緩和策
本脆弱性に対する一時的な緩和策は、現時点では具体的に報告されていません。速やかなアップデートが最も推奨される対策です。
確認方法
現在ご利用中のGitLab CE/EEのバージョンを確認し、影響を受けるバージョン範囲に該当しないか確認してください。バージョン情報は、GitLabの管理画面やコマンドラインインターフェース（CLI）から確認できます。
参考情報
- CVE-2026-1182 詳細情報: https://cvefeed.io/vuln/detail/CVE-2026-1182