深刻度が10.0点満点中10.0と評価されたGitLabの脆弱性により、攻撃者が影響を受けるサーバー上で悪意のあるコードを実行できる可能性があり、ソフトウェアの開発・デプロイシステムが危険にさらされている。
GitLabは2026年10月12日、Community Edition（CE）およびEnterprise Edition（EE）に存在する24件の脆弱性を修正するセキュリティアップデートを公開した。中でも最も深刻なCVE-2026-97229は、特定の条件下で認証不要のリモートコード実行を可能にする。影響を受けるセルフマネージド環境の管理者には、直ちにアップデートするよう強く求められている。
セキュリティ研究者はエクスプロイトを再現し、現実的な攻撃経路が存在することを確認した。組織に対する攻撃は確認されていないものの、GitLabサーバーが侵害されれば、ソースコードや認証情報、接続されたデプロイインフラが流出する可能性がある。
GitLabの脆弱性によりサーバーがリモートコード実行にさらされる
GitLabの10月12日付セキュリティアドバイザリは、継続的インテグレーション／継続的デリバリー（CI/CD）の正規表現コンパイラにおける整数オーバーフローを指摘している。検証が不十分なため、悪意のあるCI/CD設定に仕込まれた細工済みの式によって、任意のコード実行を引き起こされる可能性がある。
CVSSの評価では、攻撃の複雑さは低く、認証もユーザーの操作も必要としない。
サイバーセキュリティ企業Rapid7はエクスプロイトを再現し、パッチ未適用のGitLab 19.4.1 CEインスタンスに対して攻撃を実施した。研究者はGitLabgitユーザーの権限でOSコマンドを実行した。
実証された攻撃には、悪意のあるCI/CD設定と細工されたリポジトリパスが必要だった。パブリック登録とプロジェクト作成を許可しているインスタンスでは、攻撃者は自分でプロジェクトを作成することで、これらの前提条件を満たせる可能性がある。
このエクスプロイトは、パッチ適用済みのバージョン19.4.2に対しては成功しなかった。10月13日時点で、Rapid7はCVE-2026-97229が実際の環境で悪用された事例は確認されていないと報告している。
GitLabは8月に別の重大な脆弱性にパッチを適用し、その後、悪用の試みが確認された。この攻撃は別の脆弱性を利用したものだった。
10月のリリースでは、深刻度8.7のクロスサイトスクリプティング脆弱性CVE-2026-92883と、保護ブランチのパイプラインに影響する深刻度8.5の認可脆弱性CVE-2026-16301も修正されている。
GitLabのパッチとセキュリティ対策
GitLabは、CVE-2026-97229の修正版として次のリリースを挙げている。
- GitLab 19.2：バージョン19.2.8。
- GitLab 19.3：バージョン19.3.5。
- GitLab 19.4：バージョン19.4.2。
GitLab.comにはすでにパッチが適用されており、GitLab Dedicatedの顧客は対応する必要がない。バージョン19.3.5では、置き換えられた19.3.4リリースで導入されたマージリクエストの問題も修正されている。
これらのバージョンでCVE-2026-97229には対処できるが、管理者は、自分のインストール環境に影響するすべての脆弱性が解消されたと考えてはならない。GitLabのアドバイザリには、19.3の全バージョンに影響する脆弱性としてCVE-2026-84284も記載されている。管理者はアドバイザリ全体を確認し、サポート対象の最新セキュリティリリースをインストールするよう、GitLabの指針に従うべきだ。
アップデートをインストールするまでの間、信頼できないプロジェクトへのアクセスを制限すれば、今回実証された攻撃経路への露出を抑えられる。追加の防御策は侵害の封じ込めに役立つが、パッチ適用の代わりにはならない。
セキュリティチームは、次の対策を実施すべきだ。
- パッチ適用を確認する：影響を受けるインスタンスを一覧化し、インターネットに公開されたサーバーを優先して、アップグレードが正常に完了したことを確認する。
- 信頼できないアクセスを制限する：不要なパブリック登録を無効にし、信頼できないユーザーがパブリックプロジェクトを作成・変更できないようにする。
- 開発インフラを分離する：GitLabサーバーとランナーを、機密性の高いネットワークや本番システムから分離する。
- CI/CD認証情報を保護する：ジョブトークンの許可リストと最小権限のアクセス許可を適用し、侵害の可能性がある場合は、流出した可能性のある認証情報をローテーションする。
- 不審な活動を監視する：予期しないパイプラインの実行、リポジトリの変更、通常とは異なるサーバープロセス、不審な認証試行を調査する。
- インシデント対応計画をテストする：侵害されたサーバーの隔離、証拠の保全、信頼できる設定の復元に関する手順を確認する。
これらの対策は、開発ツールチェーン全体のセキュリティも強化する。特に、自動化されたパイプラインが機密性の高いインフラにアクセスする環境では有効だ。
9月に発生したCoderのモジュールレジストリの侵害は、信頼された開発インフラが悪用され、悪意のあるコードの配布に利用される可能性を示した。ソフトウェア提供において中心的な役割を担うGitLabのサーバーが侵害されれば、ソースコードや認証情報、本番システムへの潜在的な侵入口となる。脆弱性のあるインスタンスにパッチを適用し、接続されたインフラへのアクセスを制限することで、被害の封じ込めに役立つ。
詳しく読む：別のCISAの悪用脆弱性カタログに9月に追加されたGitLabの脆弱性は、緊急のパッチ適用と併せて不審な活動を調査する必要性を浮き彫りにしている。