GitLabのCVSS 10.0の脆弱性に悪用確認、自社運用は更新を

GitLab の CVE-2026-97229 は、ログインなしでサーバー上のコードを実行されるおそれがある脆弱性で、米国の CISA が悪用を確認しました。自社で運用している GitLab は最新のパッチへ更新してください。

脆弱性の概要

緊急CVSS10.0

やること

GitLab はソースコードの管理や自動テストに使う開発基盤です。自社のサーバーで動かしている場合は、最新のパッチへ更新してください。

CVE-2026-97229 は CI/CD（自動テストや配備の仕組み）の設定にある正規表現を処理する部分の欠陥です。条件がそろうと、数値のあふれによって、ログインしていない攻撃者がサーバー上でコードを実行できるおそれがあります。CVSS は最高の 10.0 です。

GitLab は10月12日に修正版を出しました。米国の CISA は10月29日に、悪用が確認された脆弱性の一覧（KEV）へ追加しました。GitLab の発表に悪用の記載はありません。

10月21日には、同じ種類の CVE-2026-110264 も直りました。こちらも CVSS は 10.0 で、原因は Ruby の正規表現の処理にあります。

CVE-2026-97229 の対象は 19.2〜19.4 系で、修正版は 19.4.2、19.3.5、19.2.8 です。CVE-2026-110264 の対象は 7.0 以降の幅広いバージョンで、修正版は上の表のとおりです。

自社で確かめること

GitLab のバージョンを確かめる管理画面でバージョンを確認し、上の表と見比べてください。保守を委託している場合は、委託先にバージョンと更新の予定を問い合わせてください。

侵害の跡を調べるGitLab は攻撃の試みを見つける検知ルールを公開しています。対象は Onigmo の処理の異常終了や、CI の設定確認に送られた不審な正規表現です。

Ruby のアプリを確かめる外部から受け取った文字列を正規表現として組み立てる Ruby のアプリは、GitLab でなくても対象になります。Ruby のバージョンを確かめてください。

自社で確かめるのが難しい場合はCyberScope のセキュリティ診断（3万円から）