ソフトウェア開発の基盤として広く使われている「GitLab」で、最高レベルの深刻度（CVSS 10.0）と評価された欠陥が見つかり、開発元が10月21日に修正版を公開しました。自社のサーバーに GitLab を設置して運用している組織（セルフマネージド版）が対象です。
問題の欠陥は、攻撃者がログインすることなく、サーバー上で好きなプログラムを動かせてしまうというものです。このような攻撃を専門用語で「RCE（遠隔コード実行）」と呼びます。もし悪用されれば、ソースコードの盗み出しや改ざん、サーバーの乗っ取りにつながりかねません。開発者が持つ認証情報や秘密情報が保管されていることも多く、被害が広がりやすい点が心配されます。
影響範囲も非常に広く、2014年に公開されたバージョン7.0までさかのぼるすべての版が対象とされています。つまり約12年分のリリースが該当します。また、10月12日の更新プログラムを適用済みの管理者であっても、今回の修正はそれとは別に必要になるとされています。「少し前に更新したから大丈夫」とは言えない点に注意が必要です。
このように、開発元が修正を公開する前は誰も対処できない、あるいは対処法が広まっていない状態のセキュリティホールは、修正の公開後に攻撃者がその内容を分析して攻撃を始めることがよくあります。
GitLab を自社運用している場合は、公式の案内に従って、できるだけ早く最新の修正版へ更新してください。インターネットから直接アクセスできる状態にしている場合は特に急ぐ必要があります。なお、GitLab が運営するクラウドサービス（GitLab.com）を使っているだけの方は、利用者側での作業は基本的に不要です。