3分で読めます
脅威アクターが、先週公開された最重要度のGitLabの脆弱性を悪用しています。この脆弱性は、攻撃者が組織のソフトウェアサプライチェーンに内部から入り込む足掛かりを与えかねないものです。
GitLabが9月10日に公開・修正したCVE-2026-85706は、パストラバーサルの脆弱性であり、未認証の第三者がGitLabサーバー上の任意のファイルを読み取れてしまうというものです。CVSSスコアは10点満点中10点という最高値を記録しており、GitLabのアドバイザリによれば、原因はプラットフォームのリポジトリコミットAPIにおけるパス制限の不備と認証チェックの欠落にあるとされています。この脆弱性は、組織が自社環境内にセルフホスト型のGitLabインスタンスを構築する際に使用する、GitLab Community Edition(CE)およびEnterprise Edition(EE)に存在します。
米サイバーセキュリティ・インフラセキュリティ庁(CISA)は金曜日、CVE-2026-85706を「既知の悪用された脆弱性」(KEV)カタログに追加し、連邦政府機関に対して本日までに自己管理型GitLabインスタンスへのパッチ適用または無効化を義務付けました。同日、サイバーセキュリティベンダーのwatchTowrの研究者たちは、自社のハニーポットネットワーク上でこの脆弱性に対する挙動プローブを観測したと報告しています。
そしてその後、事態はさらに悪化しています。
GitLabの悪用がサプライチェーンを脅かす
watchTowrの脅威インテリジェンス部門責任者ジェイク・ノット氏はDark Readingの取材に対し、金曜日には悪意ある活動が急速にエスカレートし、完全な悪用と機密ファイルの窃取にまで至ったと述べています。
「週末にかけては、脅威アクターが設定ファイルから機密情報を、さらに被害システムのSSH設定情報までダンプしているのを確認しました」とノット氏は語ります。「ご想像の通り、この組み合わせは非常に強力です。パスワードを窃取し、パスワード認証を許可しているインスタンスに接続し、条件が揃えばホストへのアクセス権を得ることさえ可能になります」
CVE-2026-85706の悪用によって攻撃者が得られるのは読み取り専用のアクセス権に過ぎませんが、攻撃者はそのアクセスを利用して認証情報やCI/CDシークレットといった機密情報を入手できます。これにより、GitLabインスタンス自体が完全に侵害されるだけでなく、攻撃者が組織の開発環境やその他の重要な下流システムへさらに侵入する足掛かりにもなりかねません。ノット氏はこの脆弱性を、サプライチェーン攻撃を可能にするものだと表現しています。
watchTowrは、CVE-2026-85706がここ最近GitLabで標的とされた2件目の重大な脆弱性であると指摘しています。先月には、GraphQLコードインジェクションの脆弱性であるCVE-2026-19478が、公開直後に攻撃者によって悪用されています。
CVE-2026-85706">CVE-2026-85706への対策
明るい材料としては、ノット氏によると、CVE-2026-85706の悪用には標的組織のGitLabサーバー上に少なくとも1つの公開プロジェクトが存在する必要があるといいます。一方でそれほど明るくない材料として、それは「おそらく比較的よくある構成」であり、一部の組織は自分たちが公開プロジェクトを抱えていることに気付いていない可能性がある、と同氏は述べています。
「GitLabを運用する組織はシステムへのアクセスにゲートを設けている場合があり、その場合は認証なしに外部からプロジェクトが見えることはありません。しかし、それは『公開』として作成されたプロジェクトが安全圏にあることを意味するわけではありません」とノット氏は説明します。「企業によっては、特定のコードベースを意図的に一般公開したいと考える場合もあります。一方で、自社のGitLabシステム内で公開状態にしていても、それでもなお『内部限定』だと誤って思い込んでいるケースもあります」
watchTowrは、GitLabの顧客に対し、セルフホスト型のGitLabインスタンスを、GitLab Community EditionおよびEnterprise Editionのバージョン19.3.2、19.2.6、または19.1.8に更新するよう強く呼びかけています。更新できない場合は、直ちにインスタンスへの公開アクセスをすべて削除すべきだとしています。GitLabによれば、GitLab Dedicatedの顧客は対応の必要がなく、オンラインのGitLab.comプラットフォームについてはすでに修正済みとのことです。
さらにwatchTowrは、セキュリティチームに対し、リポジトリコミットAPIのアクセスログを確認し、探索行為や悪用行為を示唆する不審なリクエストや未認証のリクエストがないか点検するよう推奨しています。
