GitLabは、CE・EEの重大な脆弱性に対処するセキュリティ更新を公開しました。シンガポール サイバーセキュリティ庁(CSA／SingCERT)は、認証なしの遠隔攻撃でサーバー上の任意コードを実行される恐れがあるとして、対象製品の即時更新を勧告しています。更新の公開日とCSAの発表日は、提供された資料には記載されていません。
ログインなしの攻撃でコードを実行される恐れ
脆弱性の識別番号は「CVE-2026-97229」です。深刻度を評価する指標「CVSS v3.1」のスコアは、最高値の10.0となっています。
問題があるのは、開発時の処理を自動化するCI/CDで使う、正規表現コンパイラーです。正規表現は文字列のパターンを指定する記述で、その処理部分に整数オーバーフローの脆弱性があります。
CSAによると、攻撃にはCI/CD設定ファイル内の細工した正規表現が使われます。認証なしで攻撃できるとされているため、利用者のログイン管理だけで対応を済ませず、対象版の確認と更新を優先してください。
今回の資料は脆弱性と更新の案内です。実際の攻撃や被害の発生状況は記載されていません。社内への連絡でも、「攻撃される恐れ」と「被害が確認されたこと」を分けて伝える必要があります。
3系列で更新の境界が異なる
影響を受けるGitLab CE・EEのバージョンは、次のとおりです。
- 19.4系：19.4.2未満
- 19.3系：19.3.5未満
- 19.2系：19.2.8未満
「19.4系を使っている」といった系列だけの確認では、対象かどうかを判断できません。末尾まで含むバージョンを確認し、該当する系列の条件と照合する必要があります。
CSAは利用者と管理者に、最新版への即時更新を勧告しています。上記の数字は影響範囲の境界です。更新作業では、この境界の確認とは別に、適用する最新版と更新手順を確認してください。
日本での提供は発表には書かれていません。また、日本向けの更新時期や、日本語での案内の有無も資料には記載されていません。
影響する会社・しない会社
- 影響する: GitLab CE・EEの19.4系で19.4.2未満、19.3系で19.3.5未満、19.2系で19.2.8未満を利用している会社です。開発部門や委託先が管理している場合も、利用版の確認を依頼してください。
- 影響しない: 同じ3系列で、それぞれ19.4.2以上、19.3.5以上、19.2.8以上を利用している会社は、資料に示された今回の影響範囲には入りません。これは、ほかの脆弱性までないことを意味するものではありません。
- 影響しない: GitLab CE・EEを利用していない会社は、今回の対象製品の更新作業は不要です。ただし、ほかの系列や提供形態については発表には書かれていません。記載がないことだけを理由に、対象外とは判断しないでください。
情シスが今日やること
- 今日、運用台帳から管理担当者を特定する。 GitLab CE・EEの利用有無を、IT資産台帳や開発環境の運用台帳で確認します。記録がなければ開発部門に照会し、委託運用なら委託先にも確認を依頼してください。
- 担当者に正確なバージョンの確認を依頼する。 系列だけでなく末尾まで含む値を報告してもらい、上記の3条件と照合します。版を確認する管理画面の場所や操作経路は、資料には記載されていません。担当者には、確認に使った画面や記録も残してもらってください。
- 対象なら、今日中に更新担当者と作業予定を共有する。 CSAの勧告は即時更新です。開発責任者と運用担当者に、識別番号、利用版、更新の必要性を知らせ、速やかな適用を依頼します。今日中という期限は本記事の対応提案で、発表が指定した期限ではありません。
- 更新後に適用版と完了記録を回収する。 作業完了の連絡だけでなく、更新後のバージョンを受け取り、対象条件から外れたことを確認します。未更新の環境があれば、担当者と次の対応時点を運用台帳に記録してください。
