GitLabが「クリティカル」を含む24件の脆弱性を修正

GitLabは、同社製品に存在する24件の脆弱性を修正した。今回の修正には、最高深刻度の「クリティカル」に分類される脆弱性1件と、「ハイ」に分類される脆弱性5件が含まれる。修正版はGitLab 19.2.8、19.3.5、19.4.2で、GitLab.comにはすでに適用されている。自社運用のインスタンスでは、管理者が速やかに更新する必要がある。

事案の詳細

GitLabが修正した脆弱性のうち、クリティカルと評価されたのはCVE-2026-97229で、CVSS基本値は10.0だった。GitLab CI/CDの設定で細工した正規表現を処理させることにより、認証されていない攻撃者がGitLabサーバー上で任意コードを実行できる可能性がある。原因は、正規表現コンパイラーにおける整数オーバーフローと、正規表現の検証が不十分だったこととされる。

このほか、ハイに分類された脆弱性5件も修正された。内容には、クロスサイトスクリプティング（XSS）や、Developer権限を持つユーザーが保護ブランチ上で許可されていないCI/CDパイプラインを実行できる問題などが含まれる。個別の脆弱性がどの環境で悪用されたかについて、詳細は現時点で不明。

対象となるのはGitLab Community Edition（CE）およびEnterprise Edition（EE）。GitLab Dedicatedの利用者は対応不要とされている一方、自社でGitLabインスタンスを運用する利用者は、稼働バージョンを確認して修正版へ更新する必要がある。

影響と背景

GitLabはソースコード管理、CI/CD、開発・運用の自動化に利用される基盤であり、脆弱性が残ったままだと、認証情報やソースコード、CI/CD環境が攻撃の影響を受けるおそれがある。特に今回のCVE-2026-97229は、認証を必要とせずサーバー上でのコード実行につながる可能性があるため、影響の大きい問題といえる。

今回の修正対象は24件に及び、クリティカル1件とハイ5件が含まれる。利用者は、自組織の構成や公開範囲を確認したうえで、修正版の適用を優先すべきである。

対策・今後の展望

利用者は、GitLab CEまたはEEの稼働バージョンを確認し、GitLab 19.2.8、19.3.5、19.4.2のいずれか、またはこれら以降の適切な修正版へ更新する。更新前にはバックアップを取得し、検証環境でリポジトリ、認証、Runner、CI/CDパイプラインの動作を確認することが望ましい。

更新までの間は、GitLabインスタンスへの外部アクセスを必要最小限に制限し、CI/CD設定、ジョブ実行、管理者操作、異常なリクエストを監視する。すでに攻撃を受けた可能性がある場合は、監査ログを確認し、アクセストークン、Runnerの認証情報、連携サービスの資格情報を必要に応じて失効・再発行する。

CSRIからの現場アドバイス

観点①：現場で何が起きているか　CSRIが支援する中小企業の診断では、GitLabのような基盤系ソフトが「導入したまま更新が止まっている」例が少なくない。特に担当者交代後に資産台帳から漏れ、パッチ適用の対象外になっているケースが目立つ。

観点②：セキュリティ専門家でない人への平易な解説　今回の問題は、建物の入口に誰でも利用できる弱点が残っている状態に似ています。細工された設定や入力を処理させることで、攻撃者がサーバー内部で不正な処理を実行できる可能性があるため、修正版への更新が必要です。

観点③：中小企業が今週中にできること　まず社内でGitLabを使っている部署と稼働場所（社内・クラウド）を確認し、管理者を決めてください。次に、GitLab CEまたはEEの現在のバージョン、外部公開の有無、CI/CD Runnerの構成を点検し、修正版への更新計画と動作確認の担当・手順を今週中に共有することが現実的です。

参照: 「GitLab」が「クリティカル」脆弱性含む24件の修正を実施