「GitHub Enterprise Server」にクリティカル脆弱性 - 修正版が公開

「GitHub Enterprise Server（GHES）」に複数の脆弱性が明らかとなった。重要度が「クリティカル」とされる修正も複数含まれる。

現地時間2026年5月26日にアップデートをリリースし、複数のセキュリティに関する修正を実施したもの。なかでも2件については重要度を4段階中もっとも高い「クリティカル（Critical）」としている。

「CVE-2026-9312」は、サーバサイドリクエストフォージェリ（SSRF）の脆弱性。アップロードエンドポイントの入力検証不備に起因し、認証を必要とすることなく細工したリクエストを内部サービスに送信することが可能で、機密性の高い認証情報を取得されるおそれがある。

またリリースパッケージの署名キーが失効となり、今後はあたらしいキーでのみ署名が行われることを明らかにした。パッチ適用前に、インスタンス内のGPG公開キーをローテーションする必要がある。CVE番号は示されていないが、同問題について重要度を「クリティカル」としている。

さらに重要度が「高（High）」とされる問題2件に対応している。

（Security NEXT - 2026/05/27 ）ツイート