GitLab は2026年10月29日、Community Edition と Enterprise Edition の 19.5.3、19.4.5、19.3.7、19.2.10、19.1.10、19.0.11、18.11.14 を公開しました。10月21日の緊急パッチリリース（19.5.1 ほか）からわずか8日後です。今回のセキュリティ修正 CVE-2026-111943 では、秘密鍵が侵害された eMudhra の中間 CA 証明書8件を、GitLab に同梱される証明書ストアの信頼対象から外しています。GitLab はすべてのセルフマネージド環境での更新を強く推奨しています。なお 19.5.2 と 19.4.4 は欠番です。
背景：Help Net Security によると、インドの認証局 eMudhra の中間証明書8件は、256未満の値という極めて弱い秘密鍵で保護されており、公開されている証明書から1秒未満で誰でも鍵を復元できる状態でした。6件は TLS 証明書の発行用、2件はコード署名用です。Wayne と名乗る研究者が10月17日に報告しました。この鍵があれば、攻撃者は自分が管理していないドメインの HTTPS 証明書を偽造でき、その証明書は Apple、Google、Microsoft、Mozilla が信頼するルートにつながっていました。
現状：AWS によると、eMudhra は10月18日に中間証明書を失効させ、クロス署名を行った CA（Sectigo）も10月19日に自社の証明書を失効させました。eMudhra は、本番運用されたのは1件のみで、顧客向け証明書の発行には使われていないとしています。報告までの17か月間に鍵が復元・悪用されたかどうかは分かっていません。AWS は、失効確認を fail-closed で強制するクライアントは影響を受けないとする一方、独自の信頼ストアを同梱するソフトウェアは更新されるまでこれらの証明書を信頼し続けると指摘しています。今回確認した情報源では、悪用は報告されていません。
GitLab の更新だけでは不十分です。GitLab によると、セルフホストの GitLab Runner は別途 19.5.1 への更新が必要で、独自の ca-certificates パッケージを含む CI/CD ジョブイメージも再ビルドする必要があります。セルフホストの AI Gateway は 18.11.8、19.0.13、19.1.9、19.2.5、19.3.3、19.4.3、19.5.3 以降に更新してください。GitLab.com は対応済みで、19.4.3-internal0 以降の GitLab Dedicated は対応不要です。
停止時間に注意：19.5.3 と 19.4.5 にはデータベースのマイグレーションが含まれるため、シングルノード構成ではマイグレーション完了まで停止します。マルチノード構成ではゼロダウンタイム手順を利用できます。
