GitLabは、認証なしの攻撃者が影響を受けるサーバー上で任意のコードを実行できる可能性がある重大な脆弱性に対処するため、緊急のセキュリティアップデートを公開しました。
CVEデータベースへのアクセス
この脆弱性は「CVE-2026-97229」として追跡されており、CVSSスコアは最高値の10.0と評価されています。GitLab Community Edition（CE）とEnterprise Edition（EE）の両方が影響を受けます。
同社は2026年10月12日にバージョン19.4.2、19.3.5、19.2.8を公開し、セルフマネージド環境の利用者に対して直ちにアップグレードするよう強く促しています。
今回のリリースでは、リモートコード実行、クロスサイトスクリプティング、パイプライン認可のバイパス、情報漏えい、AIプロンプトインジェクションなど、合計24件の脆弱性が修正されました。
GitLab.comはすでに修正版で稼働しており、GitLab Dedicatedの利用者は対応する必要はありません。
GitLabの重大な脆弱性
この重大な脆弱性は、GitLabのCI/CD正規表現コンパイラに存在し、整数オーバーフローの問題に分類されています。
GitLabによると、正規表現の検証が不十分なため、認証なしのユーザーがCI/CD設定に埋め込んだ細工済みの正規表現を通じて、GitLabサーバー上で任意のコードを実行できる可能性があります。
この脆弱性のCVSSベクターは「CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H」です。ネットワーク経由で悪用でき、攻撃の複雑さは低く、必要な権限もユーザーの操作も不要というシナリオを示しています。
CVEデータベースへのアクセス
評価では、影響範囲（スコープ）の変化に加え、機密性・完全性・可用性のすべてに高い影響が及ぶとされています。GitLabは、悪用が「特定の条件下」で発生し得るとしていますが、アドバイザリーにはこれ以上の詳細は記載していません。
GitLabは、セキュリティ研究者のjoaxcar氏が報告したと明らかにしています。報告はバグバウンティプログラム「HackerOne」を通じて行われました。アドバイザリーでは、実際の悪用が確認されたとの記載はなく、公開された概念実証（PoC）コードも示されていません。GitLabは、脆弱性の詳細な課題について、修正を含むリリースから90日後に公開するとしています。
影響を受けるバージョンとその他のセキュリティ修正
この重大な脆弱性は、GitLab CEおよびEEの以下のブランチに影響します。
- 19.2.8より前の19.2系
- 19.3.5より前の19.3系
- 19.4.2より前の19.4系
今回のアップデートでは、CVE-2026-92883も修正されました。深刻度8.7のクロスサイトスクリプティングの脆弱性で、シンタックスハイライト出力内のHTML属性が適切にサニタイズされないことに起因します。認証済みの攻撃者がこれを悪用すると、別のユーザーのブラウザセッション上でJavaScriptを実行できる可能性があります。
深刻度8.5と評価されたCVE-2026-16301も修正されました。Developerロールを持つユーザーが、適切な認可なしに保護ブランチ上で下流のCI/CDパイプラインを実行できてしまう問題です。
さらに、深刻度が高いもう一つの脆弱性CVE-2026-14814では、未加工のリポジトリのレスポンスキャッシュポイズニングが可能になる恐れがあります。その結果、パイプラインが攻撃者の細工したコンテンツを実行し、保護された環境変数が危険にさらされる可能性があります。
CVEデータベースへのアクセス
加えて、GitLabはDuo Agent Platformに存在するCVE-2026-96893にも対処しました。深刻度7.3のこの脆弱性により、認証済みユーザーがAIエージェントへの指示を操作できます。その結果、意図しないコマンドが実行され、ほかのユーザーの操作として扱われる恐れがあります。
GitLabは、影響を受けるインストール環境を最新の修正版へアップグレードするよう強く推奨しています。アドバイザリーで特定のデプロイ形態が明記されていない限り、影響を受けるバージョンに関する案内は、Omnibus、ソースからのインストール、Helmベースのデプロイを含むすべての展開方式に適用されます。
管理者は、今回のリリースに含まれるデータベースマイグレーションにも注意が必要です。シングルノード構成では、GitLabの再起動前にマイグレーションが完了するまでダウンタイムが発生します。
一方、マルチノード構成では、適切なゼロダウンタイムのアップグレード手順に従うことで、ダウンタイムを回避できます。バージョン19.3.5のアップデートには、デプロイ後のマイグレーションも含まれています。
また、19.3.5のアップデートでは、Ona連携を有効にしている場合にマージリクエストのページへ影響していた、バージョン19.3.4のリグレッション（不具合）も修正されています。
新種のマルウェアが現れたら、すぐに防御を更新しましょう。16K SOCのデータを活用するTIフィードを統合。
翻訳元: https://gbhackers.com/critical-gitlab-vulnerability-2/
