緊急（Critical）脆弱性2026-10-23
Ruby の正規表現エンジン Onigmo に脆弱性、GitLab では認証なしRCE（CVSS 10.0）
Ruby の正規表現エンジン「Onigmo」に複数のバグが見つかり、Ruby 4.0.9 / 3.4.12 / 3.3.13 で 修正された。攻撃者が制御できる文字列を正規表現としてコンパイルするアプリ（Regexp.new や /#{input}/ など）が対象で、固定の正規表現だけを使うアプリは影響を受けない。発見した GitLab では、この問題を使って認証なしでサーバー上の任意のコードを実行できる状態だった （CVE-2026-110264、CVSS 10.0）とされ、10月21日に修正版が公開された。
放置すると：自前で運用している GitLab を古いまま公開していると、ログインなしでサーバーを乗っ取られ、 ソースコードや社内の認証情報、CI の秘密情報などをまとめて盗まれるおそれがある。
サーバー管理者：自己管理版 GitLab を修正版へ更新する（18.10 以前は 18.11.13 以降へ）。Ruby アプリは 4.0.9 / 3.4.12 / 3.3.13 へ更新し、利用者の入力から正規表現を組み立てていないか確認する。
修正版：Ruby 4.0.9 / 3.4.12 / 3.3.13、GitLab 19.5.1 / 19.4.3 / 19.3.6 / 19.2.9 / 19.1.9 / 19.0.10 / 18.11.13
個人の対応チェックリスト
チェックの状態はこの端末のブラウザにのみ保存されます（他の人には共有されません）。