GitLabは、セルフマネージド版のインスタンスを利用しているユーザーに対し、CI/CDの正規表現コンパイラーに存在する重大な脆弱性（CVE-2026-97229）へのパッチ適用を強く呼びかけています。この脆弱性を悪用されると、リモートの攻撃者がGitLabサーバー上で任意のコードを実行できる恐れがあります。
CVE-2026-97229の概要
CVE-2026-97229は、GitLabのCI/CD正規表現コンパイラーに存在する整数オーバーフローの脆弱性で、GitLab Community Edition（CE）とEnterprise Edition（EE）の両方が影響を受けます。
GitLabはこの脆弱性にCVSSスコア10.0（最高値）を割り当てました。CVSSベクターによると、この脆弱性は低い複雑さでリモートから悪用でき、権限もユーザーの操作も必要としません。
セキュリティアドバイザリーには、次のように記されています。「GitLabは、特定の条件下で、未認証のユーザーがCI/CD設定内の細工された正規表現を通じてGitLabサーバー上で任意のコードを実行できた可能性のある問題を修正しました。原因は、正規表現の検証が不十分だったことです」
GitLabは、2026年10月12日にリリースしたGitLab Community Edition（CE）およびEnterprise Edition（EE）のバージョン19.4.2、19.3.5、19.2.8でこの脆弱性を修正しました。影響を受けるのは、19.2.8より前の19.2系、19.3.5より前の19.3系、19.4.2より前の19.4系のすべてのバージョンです。
同社によると、バージョン19.3.4にはOna連携を有効にしている場合にマージリクエストのページに影響するバグがあり、19.3.5で修正されています。
同社は次のように警告しています。「これらのバージョンには重要なバグ修正とセキュリティ修正が含まれています。セルフマネージド版のGitLabをご利用のすべての環境で、直ちにいずれかのバージョンへアップグレードすることを強く推奨します」
同社は続けて、「GitLab.comはすでにパッチ適用済みのバージョンで稼働しています。GitLab Dedicatedの顧客は、対応の必要はありません」と説明しています。
この脆弱性は、joaxcarというハンドルネームのセキュリティ研究者が、GitLabのHackerOneバグバウンティプログラムを通じて報告しました。
同じ研究者は、CVE-2026-7767も報告しています。これはGitLabのKubernetesプロキシに存在する深刻度「中」のオープンリダイレクトの脆弱性で、機密性の高い認証トークンが意図しないサーバーに送信される恐れがあります。
CVE-2026-97229は、GitLabが近月に修正した複数の脆弱性のうち、最新のものです。同社は8月にも、CVE-2026-19478のパッチをリリースしました。これは重大なコードインジェクションの脆弱性で、認証なしで悪用すると、公開プロジェクトやユーザーデータを改ざん・削除される恐れがありました。
