security
CISAが実際の悪用を確認、watchTowrはインターネット公開サーバーへの攻撃者による探索を発見
CISAによると、攻撃者は最大深刻度のGitLab脆弱性を悪用しており、未認証の攻撃者が脆弱なサーバーから任意のファイルを読み取ることが可能になっているといいます。GitLab側は9月10日にこの問題を修正するパッチを公開していました。
米サイバーセキュリティ・インフラセキュリティ庁（CISA）はCVE-2026-85706を既知の悪用済み脆弱性（KEV）カタログに追加したと発表しました。
この脆弱性は、GitLab Community EditionおよびEnterprise Editionに影響するリポジトリコミットAPIのパストラバーサルバグです。GitLabはこれをCVSS v3.1深刻度スケールで最大値となる10.0と評価しています。
特定の条件下では、攻撃者はログインすることなくこの脆弱性を悪用し、GitLabサーバーから任意のファイルを読み取ることができます。GitLabは、影響を受けるAPIにおけるパス制限の不備と認証の未実施が組み合わさったことがこの問題の原因だと説明しています。
ソースコードや設定ファイル、認証情報が詰め込まれることも多いプラットフォームにおいて、これは決して安心できる組み合わせとはいえません。
GitLabは9月10日にバージョン19.3.2、19.2.6、19.1.8で修正版を公開し、影響を受けるセルフマネージド環境の運用者に対して直ちにアップグレードするよう求めました。このバグは18.7以降19.1.8未満、19.2系では19.2.6未満、19.3系では19.3.2未満のバージョンに影響します。GitLab.comはすでにパッチが適用済みで、GitLab Dedicatedの顧客は対応の必要はありません。
セキュリティ企業watchTowrは週末に、CVE-2026-85706を狙った探索活動が実際に観測されていると明らかにしました。同社は、広範な悪用がすぐに続く可能性が高いと警告しています。
watchTowrによると、この脆弱性の悪用は単一のHTTPリクエストを送るだけという簡単な手口で可能であり、攻撃者がローカルファイルや設定データ、認証情報、その他の機密情報にアクセスできてしまう恐れがあるといいます。同社は、インターネットに公開されたセルフホスト型GitLabインスタンスを運用する組織に対し、パッチを適用するか公開アクセスから切り離すよう勧告しました。
悪用の兆候を調査している管理者は、file.pathパラメータを含む/api/v4/projects/{id}/repository/commits/へのHTTP POSTリクエストがログに記録されていないか確認すべきだと、watchTowrは述べています。
CISAは「この種の脆弱性は悪意あるサイバー攻撃者にとって頻繁な攻撃経路となっており、連邦政府機関にとって重大なリスクをもたらします」と指摘。「BOD 26-04は連邦文民行政府（FCEB）機関のみに適用されるものですが、CISAはすべての組織に対してリスクベースの脆弱性管理を採用し、KEVカタログに掲載された脆弱性の修正を優先するよう推奨します」としています。
インターネットに公開されたまま未パッチのインストール環境を運用している場合、このアップグレードは今日のToDoリストの最優先事項にすべきでしょう。®
