GitLab、ソフトウェア環境を妨害の危険にさらす深刻な脆弱性を修正

GitLabは月曜日、攻撃者が影響を受けるサーバー上でリモートコードを実行できる可能性があった脆弱性を修正したと発表しました。

重大度が「クリティカル」とされるこの脆弱性は、CVE-2026-97229として追跡されています。ソフトウェアエンジニアリング・オーケストレーションプラットフォームを手がける同社は、パッチリリースの文書で、GitLab Community Edition（CE）およびEnterprise Edition（EE）のサーバーがユーザー入力に含まれる悪意あるテキストを検査していなかったことが原因だと説明しています。

同社は、両エディションのサーバーについて問題を修正した新バージョンを公開し、顧客にアップグレードを促しました。GitLabは「これらのバージョンには重要なバグ修正とセキュリティ修正が含まれています。セルフマネージド型のGitLabをご利用のすべての環境で、直ちにいずれかのバージョンへアップグレードすることを強く推奨します」と述べています。

クラウドでホストされているインスタンスは、同社が自社のサーバーをすでにアップグレードしているため安全だとGitLabは説明しています。

GitLabはソフトウェア開発の中核を担うため、機密情報の窃取や、リリース前のアプリケーションの改ざんを狙うハッカーにとって人気の標的となっています。同社は顧客として、NVIDIA、Goldman Sachs、Southwest Airlines、T-Mobile、Lockheed Martin、Siemensなどを挙げています。GitLabは8月、ハッカーによるプロジェクトの改ざんを許す可能性があった脆弱性について緊急パッチを公開しました 。また、米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は9月、攻撃者が不正にファイルへアクセスできる別の欠陥について、ハッカーが悪用していると警告しました。

CISAのカタログによると、ハッカーは2021年以降、少なくとも5件のGitLabの脆弱性を攻撃に悪用してきました。

攻撃者が今回の脆弱性の悪用を始めているかどうかは、まだわかっていません。月曜日の朝の時点で、CISAはこの欠陥をカタログに追加していませんでした。