米サイバーセキュリティ・インフラセキュリティ庁（CISA）は、ハッカーがGitLabの最大深刻度の脆弱性を悪用した攻撃を行っていると警告しました。
GitLabのDevSecOpsプラットフォームは、フォーチュン100企業の50%以上が利用しており、世界中で3,000万人を超える登録ユーザーを抱えています。
この脆弱性（CVE-2026-85706として追跡）は、リポジトリのコミットAPIにおける認証強制の欠落と不適切なパス制限に起因するもので、認証されていない攻撃者がこれを悪用することで、脆弱なサーバーから認証情報やシークレット、その他の機密情報を読み取ることが可能になります。
GitLabは木曜日、GitLab Community Edition（CE）およびEnterprise Edition（EE）のバージョン19.3.2、19.2.6、19.1でこのセキュリティ問題を修正し、ユーザーに対して直ちにシステムへパッチを適用するよう呼びかけました。
同社はこの脆弱性を積極的に悪用されているものとしてはまだタグ付けしていませんが、サイバーセキュリティ企業のwatchTowrは翌日、攻撃者がCVE-2026-85706に対して未パッチのGitLabサーバーをインターネット上で探索していると報告しました。
「watchTowr Intelはすでに、最新の重大なGitLabパストラバーサル脆弱性であるCVE-2026-85706に対する実環境での探索活動を観測しています。この脆弱性は、1回のHTTPリクエストで任意のファイルを読み取ることを攻撃者に許してしまいます」と同社は警告しています。
「これまでのGitLabの脆弱性の傾向から見て、無差別な悪用が始まるまでそう時間はかからないと考えられます。［中略］防御側はまた、’file.path’パラメータを含む’/api/v4/projects/{id}/repository/commits/’というURIへのHTTP POSTリクエストがないか、ログファイルを調査し、悪用の試みがないかを確認すべきです」
同日、CISAはこの脆弱性を既知の悪用済み脆弱性カタログに追加し、拘束的運用指令（BOD）26-04に基づき、政府機関に対してシステムを保護するための3日間の猶予を与えました。
BOD 26-04は連邦政府機関のみを対象としたものですが、CISAは民間企業を含むすべてのネットワーク防御担当者に対し、進行中の攻撃に備えてできるだけ早くデバイスへパッチを適用するよう呼びかけています。
「この種の脆弱性は悪意あるサイバー攻撃者による攻撃ベクトルとして頻繁に利用されており、連邦政府全体にとって重大なリスクとなっています」とCISAは述べています。「BOD 26-04はFCEB（連邦文民行政府）機関のみに適用されるものですが、CISAはすべての組織に対し、リスクベースの脆弱性管理を採用し、KEVカタログに掲載された脆弱性の修正を優先するよう推奨します」
1月には、GitLabは深刻度の高い二要素認証バイパスの脆弱性も修正しています。これは、対象のアカウントIDを知っている攻撃者が二要素認証を回避できてしまうというものでした。
2021年11月以降、CISAはこれまでに4件のGitLabの脆弱性を積極的に悪用されているものとしてタグ付けしており、そのうち2件（CVE-2021-22175とCVE-2021-39935）は今年の2月に追加されたものです。
