GitLabがCVSS 10.0の脆弱性を警告、サーバー乗っ取りの恐れ

GitLabに、10点満点中10.0と評価される脆弱性が見つかりました。攻撃者が影響を受けるサーバー上で悪意あるコードを実行できる恐れがあり、ソフトウェア開発・デプロイ基盤が危険にさらされます。

GitLabは2026年10月12日、Community Edition（CE）とEnterprise Edition（EE）の24件の脆弱性に対処するセキュリティ更新プログラムを公開しました。最も深刻なCVE-2026-97229は、特定の条件下で、認証なしのリモートコード実行を可能にする恐れがあります。影響を受けるセルフマネージド環境の管理者には、直ちに更新するよう強く呼びかけられています。

セキュリティ研究者らはこの脆弱性の悪用を再現し、実用的な攻撃経路があることを確認しました。組織に対する攻撃はまだ確認されていませんが、GitLabサーバーが侵害されれば、ソースコードや認証情報、接続先のデプロイ基盤が危険にさらされる可能性があります。

GitLabの脆弱性、サーバーをリモートコード実行の危険にさらす

GitLabが10月12日に公表したセキュリティアドバイザリによると、問題は継続的インテグレーション/継続的デリバリー（CI/CD）の正規表現コンパイラーにおける整数オーバーフローです。検証が不十分なため、悪意あるCI/CD設定に細工された正規表現が含まれていると、任意のコードが実行される恐れがあります。

CVSSの評価では、この脆弱性は攻撃の複雑さが低く、認証もユーザー操作も必要ありません。

サイバーセキュリティ企業のRapid7は、パッチ未適用のGitLab 19.4.1 CEインスタンスに対してこの脆弱性の悪用を再現しました。研究者らは、GitLabのgitユーザーの権限でオペレーティングシステムのコマンドを実行しています。

実証された攻撃には、悪意あるCI/CD設定と、細工されたリポジトリパスが必要でした。一般ユーザーの登録やプロジェクト作成を許可しているインスタンスでは、攻撃者が自らプロジェクトを作成することで、これらの前提条件を満たせる可能性があります。

パッチ適用済みのバージョン19.4.2に対しては、この攻撃は成功しませんでした。Rapid7によると、10月13日時点で、CVE-2026-97229の実環境での悪用は確認されていません。

GitLabは8月にも、悪用の試みが観測されたことを受けて、別の重大な脆弱性にパッチを適用しています。この攻撃は別の脆弱性が対象でした。

今回の10月のリリースでは、深刻度8.7のクロスサイトスクリプティング（XSS）脆弱性CVE-2026-92883と、保護ブランチのパイプラインに影響する深刻度8.5の認可の不備CVE-2026-16301も修正されています。

GitLabのパッチとセキュリティ対策

GitLabは、CVE-2026-97229の修正版として以下のリリースを挙げています。

• GitLab 19.2：バージョン19.2.8
• GitLab 19.3：バージョン19.3.5
• GitLab 19.4：バージョン19.4.2

GitLab.comはすでにパッチが適用されており、GitLab Dedicatedの顧客は対応不要です。なお、バージョン19.3.5では、置き換え対象となった19.3.4で生じたマージリクエストの問題も修正されています。

これらのバージョンでCVE-2026-97229には対処できますが、管理者は、自社の環境に影響するすべての脆弱性が解消されると考えるべきではありません。GitLabのアドバイザリは、CVE-2026-84284が19.3のすべてのバージョンに影響するとも記載しています。管理者は、アドバイザリの全文を確認し、GitLabの指針に従って、サポート対象の最新のセキュリティリリースを適用してください。

更新プログラムを適用するまでの間は、信頼できないユーザーによるプロジェクトへのアクセスを制限することで、実証された攻撃経路による露出を減らせます。追加の防御策は侵害の影響を抑える助けにはなりますが、パッチ適用の代わりにはなりません。

セキュリティチームは、次の対応を取るべきです。

• パッチ適用の確認：影響を受けるインスタンスを洗い出し、インターネットに公開されたサーバーを優先して、アップグレードの成功を確認する
• 信頼できないアクセスの制限：不要な一般ユーザー登録を無効にし、信頼できないユーザーによる公開プロジェクトの作成・変更を防ぐ
• 開発基盤の分離：GitLabサーバーとランナーを、機密性の高いネットワークや本番システムから分離する
• CI/CD認証情報の保護：ジョブトークンの許可リストと最小権限の原則を徹底し、侵害が疑われる場合は漏えいの可能性がある認証情報をローテーションする
• 不審なアクティビティーの監視：想定外のパイプライン実行、リポジトリの変更、サーバー上の異常なプロセス、不審な認証の試みを調査する
• インシデント対応計画のテスト：侵害されたサーバーの隔離、証拠の保全、信頼できる構成への復旧の手順を検証する

これらの対策は、特に自動化されたパイプラインが機密性の高い基盤にアクセスする環境で、開発ツールチェーン全体のセキュリティ強化にも役立ちます。

9月に発生したCoderのモジュールレジストリの侵害は、信頼された開発基盤が悪意あるコードの配布に悪用され得ることを示しました。GitLabはソフトウェア提供の中核を担っているため、侵害されたサーバーは、ソースコードや認証情報、本番システムへの入り口になり得ます。脆弱なインスタンスにパッチを適用し、接続先の基盤へのアクセスを制限することで、被害を抑えられます。

関連記事：9月にCISAの悪用された脆弱性カタログに追加された別のGitLabの脆弱性は、緊急のパッチ適用と併せて不審なアクティビティーを調査することの重要性を示しています。