ディスクロージャー直後に悪用された、GitLabの重大な脆弱性

攻撃側の脅威アクターは、GitLabの重大度の脆弱性が公開されてからわずか2日ほどで悪用を開始していたと、攻撃対象領域管理企業のWatchTowrが警告しています。

CVE-2026-19478(CVSSスコア9.4)として追跡されているこのコードインジェクションの欠陥は8月17日にパッチが提供され、GitLabはこの脆弱性が認証なしでリモートから悪用され得ると警告していました。

「GitLabは、特定の条件下で未認証のユーザーがGraphQLディレクティブを介して公開プロジェクトやユーザーデータをリモートで改変または削除できてしまう問題を修正しました」と、GitLabは述べています。

修正はGitLab Community Edition(CE)およびEnterprise Edition(EE)のバージョン19.2.4、19.1.6、19.0.8、18.11.11で提供されました。

8月18日、WatchTowrはこの欠陥が容易に再現可能であると警告し、セルフマネージド型インスタンスを利用しているユーザーに対し、できるだけ早くアップデートするよう呼びかけました。緩和策としては、/api/graphqlエンドポイントへの未認証アクセスを制限するか、公開リポジトリへのアクセスを完全に無効化することが挙げられています。

「公開されているエクスプロイトコードは存在しないものの、WatchTowrはアドバイザリの詳細とパッチだけを頼りに、開示からわずか数分で脆弱性を再現できました。AIを活用する攻撃者もそう遠くない時期に追いついてくるでしょう」と、同社は当時SecurityWeekに語っていました。

水曜日、WatchTowrは自社のハニーポットネットワークが、CVE-2026-19478を狙った実環境での悪用の試みを既に検知したと警告しました。

「まだパッチを適用していない組織は、Webログの中から『@gl_introduced』を含むリクエストを探し出し、プローブや悪用の試みの兆候がないか確認する必要があります」と同社は述べています。

この脆弱性の深刻度とAIの活用によって短縮されたパッチ適用の猶予期間は、脆弱性の再現・悪用における新たな現実を映し出していると、WatchTowrのプリンシパルセキュリティリサーチャーであるJake Knott氏は指摘しています。

「今回新たに公開されたコードインジェクションの脆弱性により、未認証の攻撃者は資格情報もユーザーの操作も、特殊な設定も一切必要とせず、単一のHTTPリクエストだけで、一般公開されているGitLabプロジェクトを削除したり、その状態を書き換えたりすることが可能になります。リポジトリを完全に削除する、マージ記録を偽造する、あるいはメンテナーをBANするといったことができてしまいます」とKnott氏は述べています。

Mondooの共同創業者兼CSOであるPatrick Münch氏によると、今回新たに見つかったGitLabの欠陥はマージ記録を任意に偽造できてしまうため、次のサプライチェーン攻撃の波を容易に引き起こしかねないとのことです。

「これが何を意味するのか考えてみてください。今年私たちが追跡してきたあらゆるサプライチェーン型ワームにおいて、攻撃者はコードレビューを回避する必要がありました。承認を偽装する方が、レビュー自体をすり抜けるよりも難しかったからです。今回の脆弱性は、それをタダで実現してしまいます。攻撃者は、チームが信頼している人物によってレビュー・承認済みであるかのように悪意ある変更を見せかけることができ、パイプラインはそれをビルドして下流に配信し、監査ログすらもその一部始終が正当なものだったと証言してしまうのです。リポジトリの削除で済むなら、痛い目を見るのはその日一日だけで済みます。しかし信頼そのものを偽造されてしまえば、以降のすべてのリリースが代償を払うことになります」とMünch氏は述べています。