GitLab の脆弱性は CVE-2026-97229 が (CVSS 10.0) FIX：認証不要の深刻な RCE

Critical GitLab Vulnerability Enables Arbitrary Code Execution Attacks on Servers

2026/10/12 CyberSecurityNews — GitLab が公開したのは、未認証の攻撃者に対して、影響を受けるサーバ上での任意のコード実行を許す可能性がある、深刻な脆弱性を修正するための緊急セキュリティ更新である。この脆弱性 CVE-2026-97229 (CVSS 10.0) は、GitLab Community Edition (CE) と Enterprise Edition (EE) に影響するものであり、同社により 2026年10月12日に修正パッチが公開されている。この脆弱性は、GitLab の CI/CD 正規表現コンパイラに存在する、整数オーバーフローの欠陥に起因する。

GitLab によると、正規表現の検証が不十分なため、未認証の攻撃者が CI/CD 設定内で細工した正規表現を使用し、コード実行を引き起こす可能性がある。

正規表現とは、テキストデータの照合やフィルタリングに使用されるパターンである。今回の問題では、悪意のパターンを処理することにより、GitLab サーバ自体が侵害される可能性がある。

GitLab のセキュリティ・アドバイザリによると、この脆弱性は特定の条件下で悪用可能とされている。ただし、公開された説明には、攻撃チェーンの全容や、悪用に必要な正確な条件は記載されていない。

その一方で、CVSS ベクターでは、ネットワーク経由で攻撃可能であり、攻撃の複雑さは低く、権限やユーザー操作を必要としないと評価されている。また、機密性／完全性／可用性の、すべてに対する影響が高いとされている。

この問題は、Web サイト訪問者のブラウザ上で、悪意の JavaScript が実行されるという類のものではなく、サーバ側でコードが実行される脆弱性である。

この違いにより、影響を受ける GitLab 環境で開発プロジェクトをホストしている組織にとって、きわめて深刻な問題となる。悪用に成功した攻撃者は、サーバ上のデータやシステムの運用に、重大な影響を及ぼす可能性がある。

ただし、GitLab のリリース情報には、この脆弱性が実環境での攻撃に悪用されたとの記載はない。

セキュリティ研究者の joaxcar が、HackerOne のバグ報奨金プログラムを通じて問題を報告したとして、GitLab は謝意を示している。

同社は 2026年9月にも、GitLab CI/CD の正規表現に関連する重大な脆弱性を修正している。以前の脆弱性では認証が必要だったのに対し、今回公開された脆弱性は、アカウントを持たない攻撃者でも悪用できる可能性がある。

ただし、今回のアドバイザリでは、これらの脆弱性が同じ根本原因に起因するかどうかは明らかにされていない。

影響を受けるバージョンと必要なアップデート

影響を受けるのは、GitLab CE／EE の以下のバージョンである。

対象バージョン影響を受ける範囲修正版
GitLab CE／EE 19.2 系19.2 以上、19.2.8 未満19.2.8
GitLab CE／EE 19.3 系19.3 以上、19.3.4 未満19.3.4
GitLab CE／EE 19.4 系19.4 以上、19.4.2 未満19.4.2

管理者は、影響を受けるセルフマネージド環境を、対応する修正版へ直ちにアップグレードする必要がある。GitLab.com では、すでに修正版が適用されており、GitLab Dedicated の利用者は対応する必要がない。

今回のリリースでは、クロスサイト・スクリプティング (XSS)／認可処理の不備／GitLab Duo Agent Platform におけるプロンプト関連の問題といった、他のセキュリティ上の脆弱性も修正されている。

また、GitLab は、バージョン 19.3.4 にも、既知の不具合が存在すると警告している。この不具合は、Ona 連携が有効になっている場合に、マージリクエストのページへ影響するものである。修正はバージョン 19.3.5 で提供される予定となっている。

管理者は、緊急のセキュリティ修正を後回しにすることなく、アップグレード時において、この既知の不具合も考慮する必要がある。

GitLab が公開しているインスタンスのセキュリティ対策ガイドでは、GitLab 環境を保護するための、より広範なベストプラクティスも紹介されている。

この記事は、DevOps プラットフォームである GitLab CE および Enterprise Edition における深刻な脆弱性 (CVE-2026-97229) について解説するものです。CI/CD 機能の正規表現処理における整数オーバーフローに起因し、未認証の第三者による悪用を許す背景があります。影響として、サーバ上の任意コード実行／データの改ざん／システムの完全な制御権奪取につながる恐れがあります。対応策として、提供されている最新修正版プログラムへの緊急アップグレードが求められます。