CISAが警告、GitLabの深刻な脆弱性が実際に悪用中

米サイバーセキュリティ・インフラセキュリティ庁(CISA)は、GitLabの深刻な脆弱性を「既知の悪用された脆弱性(KEV)」カタログに追加しました。実際に悪用されている証拠が確認されたためです。

CVE-2026-85706として追跡されているこのパストラバーサルの脆弱性は、CVSSスコア10.0を記録しており、自己管理型のGitLab Community EditionおよびEnterprise Editionのインストール環境に影響します。特定の条件下では、認証を経ていない攻撃者が脆弱なサーバー上の任意のファイルを読み取れる可能性があります。

この脆弱性はGitLabのリポジトリコミットAPIに存在します。GitLabによると、パスの制限が不適切であることと認証の強制が欠如していることが原因で、攻撃者が本来意図されたリポジトリの範囲外にあるファイルにアクセスできる可能性があるとのことです。

GitLabは9月10日、修正版であるバージョン19.1.8、19.2.6、19.3.2を公開しました。影響を受けるのは、バージョン18.7から19.1.8より前のバージョン、バージョン19.2から19.2.6より前のバージョン、バージョン19.3から19.3.2より前のバージョンです。GitLab.comはすでにパッチが適用済みで、GitLab Dedicatedの顧客は対応の必要がありません。

9月11日、watchTowrは、自社のハニーポットネットワーク全体でこの脆弱性を狙った挙動確認のプローブを観測したと報告しました。CISAは同日、この脆弱性を既知の悪用された脆弱性カタログに追加し、連邦文民行政機関(FCEB)に対して9月14日を修復期限と定めました。

このリスクは、単に情報が漏えいするだけにとどまりません。GitLabサーバーには、開発パイプラインに関連する認証情報、トークン、設定データが保存されていることがあり、攻撃者がビルド環境やクラウド環境、デプロイシステムへ侵入する足がかりを与えかねません。

露出したGitLabのファイルが開発パイプラインを危険にさらす仕組み

直接的な影響としては読み取りアクセスにとどまりますが、GitLabサーバー上に存在するファイルの中身次第で、侵入の被害がどこまで広がるかが決まります。

GitLabはソフトウェア開発やCI/CD環境に深く組み込まれています。設定ファイル、認証情報、SSHキー、デプロイトークンといった機密情報が漏えいすれば、開発パイプラインに接続されたシステムへのアクセスを許してしまう可能性があります。

watchTowrの脅威インテリジェンス責任者であるJake Knott氏はDark Readingの取材に対し、攻撃者が機密情報やシステムのSSH設定を含む設定ファイルを窃取している様子を研究者らが観測したと語りました。これにより、この脆弱性は単なるGitLabサーバー内にとどまる問題ではなくなっています。漏えいした認証情報が、クラウドインフラやビルドシステム、デプロイ環境への侵入経路になり得るのです。

組織が今すぐ取るべき対応

セキュリティ専門家によると、公開された自己管理型のGitLabを運用している組織は、直ちにアップグレードを行うか、パッチ適用までの間は公開アクセスを遮断すべきだとしています。WatchTowrは、file.pathパラメータを含む/api/v4/projects/{id}/repository/commits/を標的としたHTTP POSTリクエストがないか、ログを確認するよう推奨しています。

アップデート適用前にすでに悪用が発生していた可能性があるため、組織はパッチ適用を対応の終着点と考えるべきではありません。管理者は、どのファイルにアクセス可能だったかを特定し、侵害の兆候を調査した上で、漏えいした可能性のある認証情報、デプロイトークン、SSHキーなどの機密情報をローテーションする必要があります。

CVE-2026-85706は、影響を受けたサーバーが開発・デプロイシステムに接続されている場合、任意のファイルアクセスがいかにサプライチェーン全体のより広範なリスクにつながり得るかを示しています。組織は直ちにパッチを適用すべきですが、同時に、露出したGitLabのデータが自組織の他の領域へのアクセスを許していなかったかどうかも調査する必要があります。

関連記事: 別の深刻なGitLab脆弱性が、リポジトリやメンテナーのアクセス権限、下流のソフトウェアパイプラインをいかに脅かしていたかについて解説した記事はこちら。