GitLabに深刻な脆弱性、CVSSスコアは満点の10.0

GitLab、最高深刻度の脆弱性にパッチを公開

GitLabは、特定の条件下で攻撃者がサーバー上で任意のコードを実行できる重大な脆弱性を修正しました。攻撃にパスワードやユーザーの操作は必要ありません。

この脆弱性にはCVSSで最高値の10.0が付けられました。開発元は緊急の修正版をリリースし、自己管理型サーバーの運用者に対して更新を呼びかけています。

CVE-2026-97229の仕組み

CVE-2026-97229は、GitLabがCI/CD設定で使用する正規表現コンパイラーに存在します。特別に細工された正規表現に対する検証が不十分なため、整数オーバーフローが発生する可能性があります。このオーバーフローが、外部コードの実行につながる恐れがあります。

これまでのところ、GitLabは攻撃が成功する具体的な条件を明らかにしていません。

CVSS 3.1では、この攻撃はネットワーク経由で実行でき、攻撃の複雑さも低いとされています。さらに、アカウントも被害者の操作も必要ありません。悪用に成功すると、システムの機密性、完全性、可用性が損なわれる恐れがあります。

GitLabはソースコードを保管し、ビルドパイプラインを実行していることが多いため、サーバーが乗っ取られると開発インフラ全体に影響が及ぶ可能性があります。

このバグは、19.2ブランチ以降のGitLab Community EditionとEnterprise Editionに影響します。修正は2026年10月12日に、バージョン19.2.8、19.3.5、19.4.2で提供されました。

開発元は、自己管理型サーバーに対して、該当するパッチをただちに適用するよう推奨しています。GitLab.comはすでに更新済みです。一方、GitLab Dedicatedの利用者は、追加の対応を行う必要はありません。

joaxcarと名乗る研究者がこの脆弱性を発見し、バグバウンティプログラムのHackerOneを通じて報告しました。GitLabは、CVE-2026-97229を悪用した攻撃が確認されたとは報告していません。

同社は現時点で、技術的な詳細の全面公開を控えています。パッチ公開から90日後に、関連するトラッカーのイシューを公開する予定です。

同じ10月のパッチリリースでは、他にも複数の危険な脆弱性が修正されました。

CVE-2026-92883（CVSS 8.7）: 認証済みユーザーが細工したリポジトリを通じてJavaScriptを注入し、他のユーザーのブラウザー上でコードを実行させることが可能
CVE-2026-16301（CVSS 8.5）: 特定の条件下で、開発者が権限なしに保護ブランチ上でCI/CDパイプラインを実行可能
CVE-2026-14814（CVSS 8.2）: 攻撃者がリポジトリのファイルキャッシュを汚染可能。別のユーザーのパイプラインがすり替えられた内容を実行し、保護された環境変数が漏洩する恐れがある
CVE-2026-96893: GitLab DuoのAIエージェントのコンテキストに、悪意ある命令を注入可能

このほか、GitLabはアクセス制御のバグ、GitLab Pagesのログを通じた機密情報の漏洩、トークン処理の問題も修正しました。

管理者は、まずインターネットに公開されているサーバーから更新すべきです。最高スコア10を記録した過去のGitLabの脆弱性は、9月に実際の攻撃を受けました。

ただし、今回の脆弱性が悪用されたことを示す確認済みの事例は、現時点ではありません。