GitLabの重大な脆弱性、実際に悪用される脅威へと発展

CVSSスコアの最大値である10を記録したGitLabの重大な脆弱性が、理論上の緊急対応課題から、実際に悪用されている脅威へと正式に移行しました。米サイバーセキュリティ・インフラセキュリティ庁(CISA)はCVE-2026-85706の実悪用を確実に確認し、速やかに既知の悪用された脆弱性(KEV)カタログへ追加しています。さらに、watchTowrの情報分析専門家は、公式パッチの公開直後から、脆弱なサーバーを標的にした悪意ある行為者の探索活動を検知したとしています。

CVE-2026-85706の仕組み

この深刻な脆弱性は、リポジトリのコミットAPI内に存在しています。必須の認証機構が完全に欠如している点と、重大なファイルパス制限の誤りが組み合わさっており、非常に危険な状態です。そのため、遠隔の攻撃者は有効なGitLabアカウントもユーザーの操作も一切必要とせずに攻撃を実行できます。特定の条件下では、このパストラバーサルの欠陥により、攻撃者はサーバー上の任意のファイルを制限なく読み取ることが可能になります。これには設定ファイル、ユーザー認証情報、アクセストークンといった機密性の高いデータやその他の重要な秘密情報も含まれます。GitLabのようなプラットフォームにとって、これほど深刻な情報漏えいは極めて危険です。暗号鍵が流出すれば、非公開リポジトリやCI/CDパイプライン、連携している外部サービスへのアクセスが即座に可能になってしまうためです。

この脆弱性は、GitLab Community Edition(CE)とEnterprise Edition(EE)の両方に影響します。影響を受けるバージョンは、18.7から19.1.7まで、19.2から19.2.5まで、そして19.3から19.3.1までの各系列です。開発チームはバージョン19.1.8、19.2.6、19.3.2でこの脆弱性を修正済みです。幸いにもGitLab.comはすでに修正済みのビルドで稼働しており、GitLab Dedicatedを利用する顧客についても追加の対応は不要です。しかし、当局はセルフマネージド型サーバーの管理者に対し、遅滞なくアップデートを適用するよう強く求めています。

実際の悪用とCISAの対応義務

watchTowrの情報分析担当者は、インターネット全体で脆弱なGitLabサーバーを標的とした実際のプローブ活動を記録したと報告しています。同社は管理者に対し、file.pathパラメータを明示的に含んだ、/api/v4/projects/{id}/repository/commits/宛ての極めて不審なPOSTリクエストがないか、サーバーログを入念に確認するよう強く推奨しています。こうした特定の通信パターンは、CVE-2026-85706を悪用しようとする活動を強く示唆するものです。

9月11日、CISAはこの重大な脆弱性をKEVカタログに追加し、実悪用が確認されているものとして正式に分類しました。CISAは、米国連邦政府の文民機関すべてに対し、この深刻なリスクを9月14日までに排除するよう厳格な期限を課しており、この政府機関向けの期限はすでに過ぎています。この厳格な要件は民間企業に対して法的拘束力を持つものではありませんが、CISAはすべての組織に対し、KEVカタログに掲載された脆弱性の修正に最優先で取り組むよう強く推奨しています。

繰り返される深刻な脅威のパターン

残念なことに、GitLabがこうした苦しい状況に直面するのは今回が初めてではありません。2024年にも、CISAは別の脆弱性を通じてGitLabを標的にした破壊的な攻撃を確認しており、この脆弱性もまた最大値であるCVSSスコア10を記録していました。この脆弱性は、パスワードリセットの仕組みを操作することで、悪意ある行為者がユーザーアカウントを完全に乗っ取ることを可能にするものでした。

CISAの最近の分析レポートは、厳しい現実を一貫して示しています。攻撃者は目新しいゼロデイ脆弱性を利用するよりも、公に知られた脆弱性を抱えたまま放置されているインターネット公開システムを標的にする傾向が強いという事実です。同庁は、セキュリティチームがリスクを評価する際には、単純なCVSSスコアだけでなく、実際に悪用が確認されているかどうか、そのサービスがネットワークからどの程度アクセス可能か、そして攻撃が自動化される可能性についても考慮すべきだと強く提言しています。今回のGitLabをめぐる危機に関しては、これらの憂慮すべき要素のすべてが、まさに一斉に重なり合ってしまった格好です。