GitLabは本日、CI/CDの正規表現コンパイラに存在する最高深刻度の脆弱性について、ユーザーに直ちにパッチを適用するよう呼びかけました。この脆弱性を悪用されると、リモートの攻撃者が標的のインスタンス上で任意のコードを実行できる恐れがあります。
この重大なセキュリティ上の欠陥はCVE-2026-97229として追跡されており、「joaxcar」のハンドル名を使うセキュリティ研究者が発見し、GitLabのHackerOneバグバウンティプログラムを通じて報告しました。
CVE-2026-97229の原因は、GitLabのCI/CD正規表現コンパイラにある整数オーバーフローの脆弱性です。このコンパイラは、プロジェクトのパイプライン設定ファイルに含まれる正規表現を解析、コンパイル、評価する役割を担っています。
GitLabは月曜日に公開したセキュリティ情報で、次のように説明しています。「特定の条件下では、CI/CD設定内に細工された正規表現が含まれていると、正規表現の検証が不十分なため、認証されていないユーザーがGitLabサーバー上で任意のコードを実行できる可能性がありました。この問題は修正済みです」
GitLabはこの問題を、GitLab Community Edition（CE）およびEnterprise Edition（EE）の、19.2.8より前の19.2系、19.3.4より前の19.3系、19.4.2より前の19.4系で修正しました。ユーザーには直ちにサーバーを更新するよう促しています。
同社は「これらのバージョンには重要なバグ修正とセキュリティ修正が含まれています。セルフマネージド版のGitLabをお使いの場合は、いずれかのバージョンへ直ちにアップグレードすることを強く推奨します」と警告しています。さらに、「GitLab.comはすでにパッチ適用済みのバージョンで稼働しています。GitLab Dedicatedのお客様は対応不要です」と説明しています。
CVE-2026-97229は、GitLabが近月に対処してきた一連の脆弱性の最新の事例です。1月には、重要度の高い二要素認証のバイパス脆弱性（CVE-2026-0723）にパッチを適用しました。この脆弱性では、標的のアカウントIDを知る攻撃者が、CEおよびEEのサーバー上で二要素認証を回避できました。
先月には、GitLab CE/EEでもう1件の最高深刻度の脆弱性（CVE-2026-85706）にも対処しました。この脆弱性を悪用すると、認証されていない攻撃者が、脆弱なサーバーから認証情報などの機密データを読み取れます。
その翌日、米サイバーセキュリティ・社会基盤安全保障庁（CISA）はCVE-2026-85706を追加し、悪用が確認された脆弱性のカタログに掲載しました。そのうえで連邦機関に対し、3日以内にシステムを保護するよう命じています。
CISAは、2021年11月以降の攻撃で悪用されたGitLabの脆弱性を5件指定しており、その中にはランサムウェアグループに悪用されたものも含まれます。
GitLabによると、同社のDevSecOpsプラットフォームの登録ユーザーは3,000万人を超え、Fortune 100企業の50％以上が利用しています。利用企業にはNvidia、T-Mobile、Lockheed Martin、Airbus、Goldman Sachsなどが含まれます。
