← 2026-10-22 の一覧へ戻るホーム
GitLab 重大パッチリリース

2026/10/22 4:01

GitLab 重大パッチリリース

RSS: https://news.ycombinator.com/rss

元のHacker News記事へ ↗
要約▶

Japanese Translation:

2026年10月21日、GitLab はコミュニティ版およびエンタープライズ版（バージョン 19.5.1、19.4.3、19.3.6 などを含む）の重大なセキュリティパッチをリリースし、自己管理ユーザーに対し即座にアップグレードを行うよう要請しました。これは、CVSS 10.0 の整数オーバーフローにより任意の実行コードが可能になる脆弱性 (CVE-2026-110264)、アカウント乗っ取りを可能にする認証上の欠陥 (CVE-2026-15723) および機密メタデータを晒す各種キャッシュ poisoning や権限回避などを是正するためです。GitLab.com と特定の専用テナントは既に安全ですが、アップグレードを遅らせるとシステムが攻撃に対して脆弱になります。管理者は未認証の実行コード実行やデータ漏洩を防ぐためにアップグレードの優先度を高める必要があります。特に、シングルノードのホスト型インスタンス（バージョン 19.4.3 および 19.3.6）は複雑なデータベースマイグレーションにより必須のダウンタイムを要しますが、マルチノード設定ではゼロダウンタイムで更新を進めることができます。これらのリスクはパッチ展開前にハッカーワン (HackerOne) の研究者によって特定されていました。

Text to translate:

The summary is of high quality but could be slightly improved by explicitly mentioning the existence of multiple specific CVEs rather than just grouping them, and perhaps acknowledging the release of several version numbers beyond just the ones requiring downtime to be fully faithful to the list. However, given the constraints of a single paragraph, the current version is acceptable.

**Improved Summary:**
On October 21, 2026, GitLab released critical security patches for its Community and Enterprise editions (including versions 19.5.1, 19.4.3, 19.3.6, etc.), urging immediate upgrades for self-managed users to address severe vulnerabilities like CVSS 10.0 integer overflow enabling arbitrary code execution (CVE-2026-110264), authentication flaws allowing account takeover (CVE-2026-15723), and various cache poisoning and authorization bypasses that expose confidential metadata. While GitLab.com and specific dedicated tenants are already secure, delaying updates leaves systems open to exploitation. Administrators must prioritize upgrading to prevent unauthenticated code execution and data leaks. Notably, single-node self-hosted instances (specifically versions 19.4.3 and 19.3.6) will face mandatory downtime due to complex database migrations, whereas multi-node setups can proceed with zero downtime. These risks were previously identified by researchers on HackerOne before the patch deployment.

本文

GitLab Community Edition (CE) および Enterprise Edition (EE) バージョン 19.5.1 のリリースとセキュリティアップデート

2026 年 10 月 21 日、GitLab Community Edition (CE) および Enterprise Edition (EE) の以下バージョンがリリースされました。

  • 19.5.1
  • 19.4.3
  • 19.3.6
  • 19.2.9
  • 19.1.9
  • 19.0.10
  • 18.11.13

これらのリリースには重要なバグ修正とセキュリティパッチが含まれています。すべてのセルフマネージド GitLab インストール環境について、直ちにアップグレードするよう強く推奨します。

注意点: GitLab.com および GitLab Dedicated テナントでは既にパッチ済みバージョンが動作しています。また、19.3.5-internal0 および 19.4.2-internal0 以降を動作中の GitLab Dedicated テナントについては追加のアクションは不要です。

GitLab は脆弱性の修正を「パッチリリース」を通じて提供します。

  • スケジュールされたリリース: 月 2 回（第 2 水曜日と第 4 水曜日）に発行されます。
  • クリティカルパッチ: 高深刻度の脆弱性に対して即座に発行されます。

セキュリティ修正の詳細はリリースから 90 日後に Issue Tracker で公開されます。安全かつベストプラクティスに基づいた設定については、GitLab ブログ をご参照ください。

推奨アクション

問題の影響を受けるバージョンを実行中の全てのインストール環境について、可能な限り早期に最新版へアップグレードすることを強く推奨します。特定の商品のデプロイタイプ（omnibus、ソースコード、Helm チャートなど）が明記されていない場合は、すべてのタイプに影響があると解釈してください。

セキュリティ修正

CVE-2026-110264 - Regular Expression Compiler の整数オーバーフロー問題 (GitLab CE/EE)

特別に作成された正規表現をコンパイルする際に整数オーバーフローが発生し、未認証のユーザーが GitLab サーバー上で任意のコードを実行できる可能性があった問題を是正しました。

  • 追加の対応策: 修正はバージョン 18.11.13, 19.0.10, 19.1.9, および 19.2.9 へもバックポートされました。
  • 影響を受けるバージョン:
    • GitLab CE/EE: 18.11.13 以前
    • 19.0 シリーズ（19.0.10 以前）
    • 19.1 シリーズ（19.1.9 以前）
    • 19.2 シリーズ（19.2.9 以前）
    • 19.3 シリーズ（19.3.6 以前）
    • 19.4 シリーズ（19.4.3 以前）
    • 19.5 シリーズ（19.5.1 以前）
  • CVSS スコア: 10.0 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H) - 最悪の場合
  • 報告者: HackerOne ブグバウンティプログラムを通じて joaxcar 氏が報告しました。

CVE-2026-110264 の悪用試行の検出 GitLab セキュリティチームは、セルフマネージドインスタンスを持つお客様を支援するための 2 つの脅威検知ツールをリリースしました。

検出された追加の脆弱性

  • Org mode render error burst
  • Onigmo native worker crash

CVE-2026-15723 - OmniAuth-to-LDAP オートリンクメールルックアップの不正確な認証問題 (GitLab CE/EE)

OmniAuth SAML と LDAP オートリンキングの両方を有効にした場合、不十分な入力サニタイズ化により、認証済みのユーザーがターゲットユーザーとの相互作用なしに既存の LDAP バックエンドアカウントを乗っ取れる可能性があった問題を是正しました。

  • 影響を受けるバージョン:
    • GitLab CE/EE: 19.4 シリーズ（19.4.3 以前）、19.5 シリーズ（19.5.1 以前）
    • 10.1 シリーズから始まる以前のバージョン
  • CVSS スコア: 8.2 (CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:N)
  • 報告者: HackerOne ブグバウンティプログラムを通じて stealthy 氏が報告しました。

CVE-2026-112212 - OAuth/OIDC 発見エンドポイントのキャッシュポイズニング問題 (GitLab CE/EE)

特定の条件下で、ユーザーが提供した値をエンドポイント URL の構築に不適切に信頼したことにより、未認証のユーザーが共有キャッシュ内の OAuth/OIDC 発見ドキュメントを毒し、フローを外部的に制御されたサーバーへリダイレクトできる可能性があった問題を是正しました。

  • 影響を受けるバージョン:
    • GitLab CE/EE: 18.3 シリーズ（19.3.6 以前）から始まり、19.4 シリーズ（19.4.3 以前）、19.5 シリーズ（19.5.1 以前）
  • CVSS スコア: 7.5 (CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:L/A:L)
  • 報告者: GitLab チームメンバーである Peter Arts 氏によって内部で発見されました。

CVE-2026-12664 - GraphQL ワークアイテム電子メール住所フィールドの不正確なアクセス制御問題 (GitLab CE/EE)

特定の条件下で、

read_api
スコープを持つトークンを有する認証済みのユーザーが、プロジェクトの着信メールアドレスを取得し、トークンの制限を迂回してワークアイテムを作成できる可能性があった問題を是正しました。

  • 影響を受けるバージョン:
    • GitLab CE/EE: 18.2 シリーズ（19.3.6 以前）から始まり、19.4 シリーズ（19.4.3 以前）、19.5 シリーズ（19.5.1 以前）
  • CVSS スコア: 6.8 (CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:N)
  • 報告者: HackerOne ブグバウンティプログラムを通じて go7f0 氏が報告しました。

CVE-2026-16255 - インスタンス全体による SAML/LDAP メンバーシップロックの不完全な強制により許可された未許可のメンバー追加 (GitLab EE)

インスタンス全体の SAML または LDAP メンバーシップロックが有効な場合、不十分なメンバーシップロックの強制により、ロック有効化前に作成されたリクエストでプロジェクトおよびグループのメンバーシップを付与または受諾できる可能性があった問題を是正しました。

  • 影響を受けるバージョン:
    • GitLab EE: 12.0 シリーズ（19.3.6 以前）から始まり、19.4 シリーズ（19.4.3 以前）、19.5 シリーズ（19.5.1 以前）
  • CVSS スコア: 5.9 (CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:L/A:N)
  • 報告者: HackerOne ブグバウンティプログラムを通じて 3nvz 氏が報告しました。

インスタンス全体による SAML/LDAP メンバーシップロックの不完全な強制により許可された未許可のメンバー追加 (GitLab EE) - 内部発見

特定の条件下で、不十分な内部レスポンスヘッダーのフィルタリングにより、未認証のユーザーが機密のある内部サーバー資格情報を取得できる可能性があった問題を是正しました。

  • 影響を受けるバージョン:
    • GitLab CE/EE: 17.6.5 バージョン（19.3.6 以前）から始まり、19.4 シリーズ（19.4.3 以前）、19.5 シリーズ（19.5.1 以前）
  • CVSS スコア: 4.3 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N)
  • 報告者: HackerOne ブグバウンティプログラムを通じて altair00 氏が報告しました。

CVE-2026-13319 - グループマイルストーン API のユーザー制御キーによる認証バイパス問題 (GitLab CE/EE)

グループマイルストーン API において、ユーザーが供給したプロジェクトフィルタパラメータに対する欠落している認証チェックにより、インスタンス内の任意のプライベートプロジェクトからタイトル、説明、完全なプロジェクト経路を含むマイルストーンメタデータを読み取れる可能性があった問題を是正しました。

  • 影響を受けるバージョン:
    • GitLab CE/EE: 15.10 シリーズ（19.3.6 以前）から始まり、19.4 シリーズ（19.4.3 以前）、19.5 シリーズ（19.5.1 以前）
  • CVSS スコア: 4.3 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N)
  • 報告者: HackerOne ブグバウンティプログラムを通じて a0xnirudh 氏が報告しました。

AI 機能へのアクセスバイパス (GitLab EE) - 内部発見

特定の条件下で、請求資格チェックにおける不十分なサーバーサイドバリデーションにより、有効なサブスクリプションなしで有料の AI 機能にアクセスできる可能性があった問題を是正しました。

  • 影響を受けるバージョン:
    • GitLab EE: 17.8 バージョン（19.3.6 以前）から始まり、19.4 シリーズ（19.4.3 以前）、19.5 シリーズ（19.5.1 以前）
  • CVSS スコア: 4.3 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N)
  • 報告者: GitLab チームメンバーである Halil Coban 氏によって内部で発見されました。

CVE-2026-105711 - マージリクエストタイトルレンダリングの機密情報を含むキャッシュの使用問題 (GitLab CE/EE)

公開プロジェクト内のマージリクエストがプライベートプロジェクトから機密な問題を参照する場合、プロジェクトメンバーシップのない認証済みのユーザーが、パーユーザ-redacted レンダリングコンテンツをすべてのユーザーで共有する Viewer-Independent フラグメントキャッシュキーにより、機密問題のタイトルを読み取れる可能性があった問題を是正しました。

  • 影響を受けるバージョン:
    • GitLab CE/EE: 15.0 バージョン（19.3.6 以前）から始まり、19.4 シリーズ（19.4.3 以前）、19.5 シリーズ（19.5.1 以前）
  • CVSS スコア: 3.5 (CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:N/A:N)
  • 報告者: HackerOne ブグバウンティプログラムを通じて 20kilograma 氏が報告しました。

CVE-2026-14288 - プロテクトブランチ上の必要なマージリクエスト承認ポリシーを迂回させる不正確なアクセス制御問題 (GitLab EE)

保護されたブランチ上の必要なマージリクエスト承認ポリシーを回避できる可能性があった問題を是正しました。

  • 影響を受けるバージョン:
    • GitLab EE: 17.4 バージョン（19.3.6 以前）から始まり、19.4 シリーズ（19.4.3 以前）、19.5 シリーズ（19.5.1 以前）
  • CVSS スコア: 3.1 (CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:L/A:N)
  • 報告者: HackerOne ブグバウンティプログラムを通じて 3nvz 氏が報告しました。

CVE-2026-112326 - セキュリティファインディングにおける例外スロー時の不適切なクリーンアップ問題 (GitLab EE)

認証済みのユーザー（読み取りのみ権限）が、永続的に既存の脆弱性情報記録を削除できる可能性があった問題を是正しました。

  • 影響を受けるバージョン:
    • GitLab EE: 17.8 バージョン（19.3.6 以前）から始まり、19.4 シリーズ（19.4.3 以前）、19.5 シリーズ（19.5.1 以前）
  • CVSS スコア: 3.1 (CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:L/A:N)
  • 報告者: GitLab チームメンバーである Gregory Havenga 氏によって内部で発見されました。

CVE-2026-103515 - グループ Duo アドミニストレーショントロックによる Amazon Q 設定の不正確なアクセス制御問題 (GitLab EE)

インスタンス管理者がグループの Duo 利用可能性をロックした際、グループオーナー権限を持つ認証済みのユーザーが、そのグループとその子孫プロジェクトに対する AI を介したデータ流出をサードパーティサービスへ再有効化できる可能性があった問題を是正しました。

  • 影響を受けるバージョン:
    • GitLab EE: 19.2 バージョン（19.3.6 以前）から始まり、19.4 シリーズ（19.4.3 以前）、19.5 シリーズ（19.5.1 以前）
  • CVSS スコア: 2.7 (CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:L/A:N)
  • 報告者: HackerOne ブグバウンティプログラムを通じて 3nvz 氏が報告しました。

バグ修正

バージョン 19.5.1 のバックポートおよび追加修正

  • 19.5 ドキュメントページが stable ブランチから欠落していた問題の修復
  • release-note
    バックポート (19-5-stable-ee)
  • 「Roulette experiment default specs」における CI 変数の無視機能のバックポート
  • 「Scope picker search query spec」の隔離（クオランティン）のバックポート
  • GitLab Runner 19.5 リリース投稿の最新 stable ブランチへのバックポート
  • CNG Helm チャート参照のアップグレード (v10.5.0)
  • 「Duo CLI およびワークフローイメージ v0.0.23」の設定 (
    GITLAB_BIN_DIR
    ) の 19.5 へのバックポート
  • Orbit プロジェクト情報から 
    repository_storage
    を返す機能の 19.5 へのバックポート
  • Gitaly が 
    ResourceExhausted
    で 
    GetArchive
    を却下した際に 429 を返すワークホースの修正をバックポート
  • パイプライン実行ポリシーパイプラインのためにパイプライン IID を割り当てる機能のバックポート
  • リポジトリバックアップ時に必要なスニペット列のみをロードする機能のバックポート
  • gitlab-markup 2.2.0 および rdoc 8.1.0 へのアップデート
  • 「Baseline date」のピン定（
    .browserslistrc
    ）の 19.5 へのバックポート
  • キャッシュの基本フローカタログアイテムをリクエストごとに固定する機能の修復
  • ワークアイテムの変更タイプおよび子マイルストーンに対する 
    features
    フィールドの修正
  • 「Rouge Fallthrough」をキャプチャせずに実行する機能の 19.5 へのバックポート
  • Orbit アーカイブおよび 
    changed_paths
    が欠落しているリポジトリに対して 404 を返す機能の 19.5 へのバックポート
  • Fetch がないジョブを停止し、Git オブジェクトプールの借用を避ける機能の修正
  • Ruby regexp repeat ID overflow パッチ (バージョン 3.3, 3.4, 4.0) の追加

バージョン 19.4.3 の追加およびバックポート

  • Siphon CDC テーブル定義の画像バンドリング (
    siphon-tables
    ) の追加
  • Ruby regexp repeat ID overflow パッチ (バージョン 3.3, 3.4, 4.0) の追加
  • 「ListRefs」におけるオプトインタグガー日付の公開機能のバックポート
  • Developer フロートリガーからのステール 
    merge_request
    イベントの削除のバックポート
  • Gitlab::HTTP HTTP_ERRORS
    への IP フォルバックエラーの追加のバックポート
  • CVE エンリッチメント同期をエクスポートファイル全体で再開する機能のバックポート
  • サインアウトユーザー向けのトリリンガル差分（diff）の切断を修復する機能のバックポート
  • Workhorse からのクライアントが供給した MCP ツールへの信頼フラグの削除のバックポート
  • タッグがターゲットブランチ名を共有する場合のフォワードマージの修正のバックポート
  • 「Roulette experiment default specs」における CI 変数の無視機能のバックポート
  • フォーク MR パイプラインに必要な ID トークンクレームを追加する機能のバックポート
  • リポジトリバックアップ時に必要なスニペット列のみをロードする機能のバックポート
  • 「Duo CLI およびワークフローイメージ v0.0.23」の設定 (
    GITLAB_BIN_DIR
    ) の 19.4 へのバックポート
  • 「Baseline date」のピン定（
    .browserslistrc
    ）の 19.4 へのバックポート
  • Orbit アーカイブおよび 
    changed_paths
    が欠落しているリポジトリに対して 404 を返す機能の 19.4 へのバックポート
  • Gitaly が 
    ResourceExhausted
    で 
    GetArchive
    を却下した際に 429 を返すワークホースの修正をバックポート
  • パイプライン実行ポリシーパイプラインのためにパイプライン IID を割り当てる機能のバックポート
  • gitlab-markup 2.2.0 および rdoc 8.1.0 へのアップデート
  • Orbit アーカイブおよび 
    changed_paths
    が欠落しているリポジトリに対して 404 を返す機能の 19.4 へのバックポート（重複修正）
  • 「Rouge Fallthrough」をキャプチャせずに実行する機能の 19.4 へのバックポート
  • マージ可能性フィールドから不要なコミッターバッチローダーを削除する機能のバックポート
  • ウィキ体験への調整（Adjustments to Wiki experience）の追加

バージョン 19.3.6 の追加およびバックポート

  • Ruby regexp repeat ID overflow パッチ (バージョン 3.3, 3.4, 4.0) の追加
  • 「ListRefs」におけるオプトインタグガー日付の公開機能のバックポート
  • Gitlab::HTTP HTTP_ERRORS
    への IP フォルバックエラーの追加のバックポート
  • CVE エンリッチメント同期をエクスポートファイル全体で再開する機能のバックポート
  • タッグがターゲットブランチ名を共有する場合のフォワードマージの修正のバックポート
  • Workhorse からのクライアントが供給した MCP ツールへの信頼フラグの削除のバックポート
  • フォーク MR パイプラインに必要な ID トークンクレームを追加する機能のバックポート
  • リポジトリバックアップ時に必要なスニペット列のみをロードする機能のバックポート
  • Gitaly が 
    ResourceExhausted
    で 
    GetArchive
    を却下した際に 429 を返すワークホースの修正をバックポート
  • 「Baseline date」のピン定（
    .browserslistrc
    ）の 19.3 へのバックポート
  • Orbit アーカイブおよび 
    changed_paths
    が欠落しているリポジトリに対して 404 を返す機能の 19.3 へのバックポート
  • gitlab-markup 2.2.0 および rdoc 8.1.0 へのアップデート
  • ウィキ体験への調整（Adjustments to Wiki experience）の追加
  • 「Rouge Fallthrough」をキャプチャせずに実行する機能の 19.3 へのバックポート
  • Orbit アーカイブおよび 
    changed_paths
    が欠落しているリポジトリに対して 404 を返す機能の 19.3 へのバックポート（重複修正）
  • Prometheus のアップグレード（バージョン 3.13.2）(19-3-stable)

バージョン 19.2.9 の追加およびバックポート

  • Ruby regexp repeat ID overflow パッチ (バージョン 3.3, 3.4, 4.0) の追加
  • フォーク MR パイプラインに必要な ID トークンクレームを追加する機能のバックポート
  • gitlab-markup 2.2.0 および rdoc 8.1.0 へのアップデート

バージョン 19.1.9 の追加およびバックポート

  • websocket-driver 0.8.2 へのアップグレード（19-1-stable-ee にバックポート）
  • 空の CI パーティション上のバックフィル移動の重複を修復する機能のバックポート (19-1-stable-ee)
  • GitLab Elasticsearch インデックスアーカイバー 5.14.14 へのアップデートのバックポート (19.1)
  • シークレット仕様でのシステム障害アサーションの削除（19-1-stable-ee にバックポート）
  • gitlab-shell 14.56.1 へのアップグレード (RHEL 10 / OpenSSH 9.8+ での sshd CPU スピン問題の修正)
  • PostgreSQL 17.11 へのアップグレード (19-1-stable)
  • Consul 1.22.7 へのアップグレード (19-1-stable)
  • ブランチ 
    sdg-fips-staging-upload-internal-release
    のマージ (19.1)
  • !9672 のバックポート (19-1-stable): RHEL 10 / OpenSSH 9.8+ 用の SELinux ルール (
    sshd_session_t
    , 
    sshd_auth_t
    ) の追加
  • !9744 のバックポート (19-1-stable): SELinux 下での sshd ファースト SSH キールックアップの許可
  • Patroni ストリーミングステートを進行中のノードとして扱う機能（19-1-stable にバックポート）
  • Ruby regexp repeat-range double-free パッチ (バージョン 3.3, 3.4) の追加

バージョン 19.0.10 の追加およびバックポート

  • staging および production アップロードタイムアウトの 35m から 60m への増大
  • Ruby regexp repeat-range double-free パッチ (バージョン 3.3, 3.4) の追加

バージョン 18.11.13 の追加およびバックポート

  • staging および production アップロードタイムアウトの 35m から 60m への増大
  • Mattermost セキュリティ更新 (2026 年 8 月 13 日)
  • Ruby regexp repeat-range double-free パッチ (バージョン 3.3, 3.4) の追加

アップグレードに関する重要な注意事項

このパッチには、アップグレードプロセスに影響を与えるデータベースマイグレーションが含まれています。

あなたのインストールへの影響

  • シングルノードインスタンス: このパッチは、マイグレーションが完了するまで GitLab が起動しないため、アップグレード中にダウンタイムが発生します。
  • マルチノードインスタンス: 適切なゼロダウンタイムアップグレード手順を使用すれば、このパッチはダウンタイムなしで適用可能です。

マイグレーションの種類

通常のマイグレーションが含まれるバージョン: 以下のバージョンでは、アップグレードプロセス中に通常のマイグレーションが実行されます。

  • 19.4.3
  • 19.3.6

ポストデプロイマイグレーション（アップグレード後に実行可能なもの）が含まれるバージョン: 以下のバージョンには、アップグレード後のデプロイに伴うポストデプロイマイグレーションが含まれます。

  • 19.4.3

より詳しいアップグレードの影響については、以下のドキュメントをご覧ください。

アップデート方法

GitLab のアップデートについては、Update ページ を参照してください。 GitLab Runner のアップデートについては、Updating the Runner ページ を参照してください。

パッチ通知の受信

同じ日のほかのニュース

一覧に戻る →

2026/10/22 6:58

鉄道セキュリティ開示

## Japanese Translation: レイルウェイは、本日早些に暗号化された顧客の環境変数への未許可のサードパーティアクセスを検知した直後、すべてのデプロイを一時停止しました。証拠によれば、攻撃者は一部の変数の復号化された内容を取得しており、これには API キー、データベース認証情報、プライベートレジストリ認証情報といったシークレットが含まれている可能性があります。影響範囲は現在ユーザーの一部に限られていますが、深刻度のためレイルウェイは上流プロバイダーに対し鍵の取り消しを能動的に行っています。本件のインシデントは、AI 推論サービスへの侵害を狙うプラットフォーム企業を標的とする攻撃の広範な傾向と一致します。影響を受けたアカウントは、調査の詳細が確認されると、直接的にメールで連絡されます。範囲およびステータスに関するさらなる更新は、公式アナウンスメントおよび status.railway.com を通じて共有されます。ユーザーは強く推奨されるのは、直ちにレイルウェイ（API キーおよびレジストリ認証情報を含む）に格納されているすべての環境変数をローテートし、サービスのログで不審な活動を審査することです。ビルドが完全に復元されるまで、新しいバージョンのロールアウトは行えません。

2026/10/22 0:48

本日の PHP セキュリティリリースとセキュリティ強化の取り組み

## Japanese Translation: PHP は、無認証リモートコード実行 (RCE) を可能にする 2 つの深刻な脆弱性情報である CVE-2026-109618 および CVE-2026-109619 を解消するため、緊急に重要なセキュリティアップデート (バージョン 8.2.35 から 8.5.12) をリリースしました。これらの不備はメモリ管理およびエラー処理の核心的な問題に起因し、ほぼ全てのサーバーリクエストに影響を与えています。脆弱性は当初、2024 年の Quarkslab による監査の際に特定されましたが、互換性維持上のリスクとサードパーティ製拡張機能全体での合意形成が必要だったため、修正は遅延されていました。OpenAI や Wiz などの企業から 2026 年後半に追加の攻撃ベクトルの報告があり、PHP ファウンデーションは AI セキュリティエンジニアの Volker Dusch を補強した専用の「エコシステムセキュリティチーム」を設立し、高度な AI モデルを用いた主要テクノロジー企業と連携して複雑なエクスプロイトレポートを検証するパートナーシップを結んでいます。パッチの詳細が意図せずリークされたことに伴い（具体的には 10 月 20 日に誤った CVE ID が示された）、リリース日は 10 月 22 日から 10 月 21 日に前倒しされ、迅速な対応と安定性の維持の両立を図っています。以降、プロジェクトは 15 の CVE を公表し、100 以上のレポートを処理しており、AI を用いて検証を行いながら人間がパッチを最終調整しています。この強化されたセキュリティ態勢を持続させるため、PHP ファウンデーションは政府、ホスティングプロバイダー、ドイツ主権技術庁（German Sovereign Tech Agency）などの企業から資金支援を募り、サードパーティからの継続的な脅威への対応のために深層コードベースの専門家を採用しています。

2026/10/20 13:27

デフォルトで全てのメニューにアイコンを表示しないようにする

## Japanese Translation: ## サマリー： macOS Golden Gate で、メニュー項目からデフォルトアイコンが削除され、macOS Tahoe でのアプローチが逆転した。これは、一年間の実使用の教訓に基づいた更新されたヒューマン・インターフェース・ガイドラインへの対応であり、実際の使用からの経験則に基づき、その慣行を推奨しないようになったものである。以前は「Apple がこれをやっていない」という理由でこの機能を反対していたが、Tahoe における試行および後のコース修正により、その主張は弱まった。公的な逆転は重要なポイントを強調している：設計決定の根拠として、歴史的な先例や競争相手の行動よりも、実際の使用から得られる実証的証拠の方が強力である。これは、主要なテクノロジー企業がユーザー体験データがそれを示す場合に変更を伴うことを示しており、理論的な基準に頼ることではなく、テストと反復による改善の力を浮き彫りにしている。

GitLab 重大パッチリリース | そっか～ニュース