米国のサイバーセキュリティ・インフラセキュリティ庁(CISA)は、CVE-2026-85706として追跡されているGitLabの重大なパストラバーサル脆弱性について、実際に悪用されている証拠が確認されたとして、既知の悪用済み脆弱性(KEV)カタログに追加しました。
この脆弱性はGitLab Community Edition(CE)とEnterprise Edition(EE)の両方に影響します。CVE-2026-85706により、認証されていない攻撃者が脆弱なGitLabサーバーから任意のファイルを読み取ることが可能になります。
この問題は、リポジトリのコミットAPIにおけるパス制限の不備と認証強制の欠如に起因しており、攻撃者が制御するパス値が本来のリポジトリディレクトリの外に出てしまうことを許してしまいます。
この脆弱性はCWE-35に分類されています。これは、アプリケーションがファイルパス操作を想定されたディレクトリ内に適切に制限できない場合に発生するパストラバーサルの弱点です。
実際には、攻撃者は細工したトラバーサルシーケンスを使い、影響を受けるGitLabサービスプロセスの権限次第で、GitLabリポジトリのパス外にある機密ファイルにアクセスできる可能性があります。
露出する可能性のあるファイルには、アプリケーションの設定ファイル、シークレット、APIクレデンシャル、デプロイトークン、秘密鍵、環境変数、その他のサーバー側データが含まれる恐れがあります。
こうした情報へのアクセスは、GitLabアカウントの侵害、クラウド環境へのアクセス、ソースコードの窃取、あるいは接続されたCI/CDインフラへの横展開といった、さらなる攻撃につながる可能性があります。
CISAはこの脆弱性を2026年9月11日にカタログへ追加し、対応期限を2026年9月14日に設定しました。同庁によると、この問題はバインディング運用指令(BOD)26-04に基づくフォレンジック調査を必要とし、同指令は悪用リスクと資産の露出状況に基づいて修復の優先順位を定めています。
米連邦文民行政機関は、期限までにベンダー提供の緩和策を適用するか、緩和策が存在しない場合は該当製品の使用を中止しなければなりません。
組織は、公開されているGitLabインスタンスがインターネットに直接面しているかどうかを評価し、クラウドホスト型サービスに関するBOD 26-04の該当ガイダンスを適用する必要もあります。
CISAはランサムウェアキャンペーンでの利用を確認していないとしていますが、この脆弱性は認証不要かつ任意のファイル読み取りが可能という性質上、初期アクセスブローカーや日和見的な脅威アクターにとって非常に魅力的な標的となります。
セキュリティチームは直ちに、自組織内のすべてのGitLab CEおよびEEインスタンスを特定し、導入されているバージョンを確認したうえで、GitLabがベンダーとして推奨する修正または緩和策を適用する必要があります。
また、運用上可能な範囲でGitLabへの公開アクセスを制限し、リバースプロキシおよびアプリケーションのログを確認して、リポジトリのコミットAPIに対する不審なリクエストがないか調べるとともに、エンコードされたディレクトリ区切り文字のシーケンスなど、トラバーサル型のペイロードを探すべきです。
CISAがフォレンジック調査を求めていることから、防御側は認証イベント、APIアクセスログ、GitLab監査ログ、ホストレベルのテレメトリを精査し、不正なファイルアクセスの痕跡がないか確認する必要があります。
チームは、影響を受けた可能性のあるサーバーに保存されているクレデンシャルやシークレット、特にGitLabランナートークン、パーソナルアクセストークン、SSH鍵、CI/CD変数、クラウドクレデンシャル、データベースパスワードをローテーションすべきです。
16,000以上の組織から得られる最新のインテリジェンスで、脅威の検知率を58%向上。TIフィードを統合することで、貴社のSOCを強化しましょう
