CISA Confirms Active Exploitation of GitLab Vulnerability CVE-2026-97229
2026/10/30 gbhackers — 米国の CISA は、GitLab Community Edition／Enterprise Edition に影響を及ぼす深刻な脆弱性 CVE-2026-97229 の実際の悪用を確認した。2026年10月29日に CISA は、この脆弱性を既知の悪用された脆弱性 (KEV) カタログに追加した。これにより、影響を受けるサーバを運用している組織には、早急な対応が求められる。この脆弱性を悪用する未認証の攻撃者は、CI/CD の設定に細工した正規表現を組み込むことで、GitLab サーバ上で任意のコードを実行できる。GitLab は、この問題の原因を正規表現の検証不足としており、CWE-190 に分類される整数オーバーフローまたはラップアラウンドの脆弱性と位置付けている。
GitLab の脆弱性 CVE-2026-97229
公式 CVE レコードによると、この脆弱性 CVE-2026-97229 (CVSS v3.1 10.0) は、ネットワーク経由で悪用でき、攻撃の複雑さが低く、事前の権限取得やユーザー操作を必要としない。悪用に成功した攻撃者は、機密性／完全性／可用性に重大な影響を及ぼす可能性がある。
整数オーバーフローは、算術演算の結果が、データ型で表現できる範囲を超えた場合に発生する。想定外の値により、セキュリティ検査やメモリ関連の処理が正常に機能しなくなる可能性がある。ただし、GitLab が公開した説明では、どのような手順により脆弱性が悪用されるのか、詳細は明らかにされていない。
この未認証でのリモート・コード実行の脆弱性を修正するために、すでに GitLab から緊急セキュリティ・アップデートが公開されている。ただし、今回の CISA の確認により、理論上の攻撃シナリオに留まらず、実際に悪用が発生していることが判明した。
影響を受けるバージョンは以下のとおりである。
- GitLab 19.2 系列の 19.2.8 以前のバージョン
- GitLab 19.3 系列の 19.3.5 以前のバージョン
- GitLab 19.4 系列の 19.4.2 以前のバージョン
脆弱性 CVE-2026-97229 の CVE レコードは、2026年10月13日に公開された。セキュリティ研究者の joaxcar が、HackerOne のバグ報奨金プログラムを通じて、この脆弱性を報告したとして、GitLab は謝意を示している。
提供された KEV カタログの登録情報では、修正期限が 2026年11月01日と指定されており、BOD 26-04 に基づくフォレンジック調査のためのトリアージが必須とされている。ランサムウェアへの関与については「不明」と記載されているが、それはランサムウェア攻撃者による悪用を示すものではない。
ユーザー組織に求められるのは、適用される修正パッチの導入要件とフォレンジック調査の要件に従い、ベンダーが指定する緩和策を実施することである。また、KEV カタログの登録情報では、各システムがインターネットに公開されている状況を評価し、関連するクラウドサービスのガイダンスに従うこと、緩和策を利用できない場合には製品の使用を中止することも指示されている。
今回の事例は、CI/CD の改ざんやデータ漏えいに対処する、以前の GitLab の修正パッチに続くものである。それが示すのは、それぞれの脆弱性を混同することなく、開発インフラを保護することの重要性である。
影響を受ける環境における修正バージョンは、19.2.8／19.3.5／19.4.2 である。CISA が実際の悪用を確認しているため、管理者にとって必要なことは、使用中のバージョンが各系列の修正版以降であることを確認し、最優先で修正することである。今回参照された公開情報では、攻撃者／被害組織／攻撃キャンペーンの規模は特定されていない。
この記事は、DevOps プラットフォームである GitLab Community Edition および Enterprise Edition における脆弱性 CVE-2026-97229 が CISA KEV カタログに追加された事象について解説するものです。CI/CD 設定時の正規表現検証不足に起因する整数オーバーフローが背景に存在します。影響として、未認証の攻撃者による任意のコード実行／システムデータの改ざんや奪取が生じる恐れがあります。対応策として、KEV カタログの運用に基づいた修正済みバージョンへの速やかな移行／インターネット公開状況の評価／指示された緩和策や使用中止手順の適用が求められます。
You must be logged in to post a comment.