Rapid7は2026年10月16日、GitLabのCI/CDにある脆弱性「CVE-2026-97229」の技術分析を公開しました。GitLabは認証なしでコードを実行される可能性があるとし、2026年10月12日に修正版を公開しています。自社でGitLabを運用している会社は、利用中の版と更新状況の確認が必要です。
対象はGitLab CE・EE、修正版は3系列
問題があるのは、テストや配備などを自動化するCI/CDの正規表現処理です。数値の処理範囲を超える「整数オーバーフロー」が発生します。GitLabは、脆弱性の深刻度を示すCVSSスコアを10.0と評価しています。
影響対象はGitLab CEとEEです。資料に示された対象範囲と修正版は次のとおりです。
- 19.2系：19.2以降、19.2.8未満が対象。修正版は19.2.8です。
- 19.3系：19.3以降、19.3.5未満が対象。修正版は19.3.5です。
- 19.4系：19.4以降、19.4.2未満が対象。修正版は19.4.2です。
GitLabによると、特記がない限り全ての導入形態が影響を受けます。ただし、GitLab.comは脆弱性の公表前に修正済みで、GitLab Dedicatedの顧客は対応不要とされています。日本での提供状況は発表には書かれていません。影響判断では、利用しているサービスと版を確認してください。
「認証不要」の評価と実証条件には違い
Rapid7は、公式Linux amd64版のGitLab 19.4.1 CEで実証コードが動作したと報告しました。メモリー上の配置をランダム化するASLRが有効でも、git OSアカウントで任意のコマンドを実行できたとしています。
ただし、この実証経路では、公開プロジェクトへの書き込み権限が事前に必要でした。認証不要だったのは、最後のCI lintリクエストだけです。Rapid7は、この前提と、GitLabによる「権限不要」を意味する評価「PR:N」の不一致を指摘しています。
元の脆弱性報告は非公開で、書き込み権限を不要にする方法はRapid7にも分かっていません。このため、「認証なしでの攻撃が実証された」と一括りにするのも、「書き込み権限を制限すれば安全」と判断するのも避けるべきです。
また、今回の実証経路は、パイプラインの作成や、ジョブを実行するRunnerへの接続を伴いません。「パイプラインを動かしていない」という理由だけで、更新を見送らないことが重要です。GitLabのリリースノートには、公表時点で実環境での悪用の記載はありませんが、悪用がないことを確認したという意味ではありません。
影響する会社・しない会社
- 影響する: GitLab CEまたはEEを運用し、19.2以降19.2.8未満、19.3以降19.3.5未満、19.4以降19.4.2未満を使っている会社です。
- 影響しない: GitLab.comを利用する会社は、公表前に修正済みです。GitLab Dedicatedの顧客も対応不要とされています。
- 影響しない: 上記3系列で、それぞれ19.2.8、19.3.5、19.4.2への更新を完了した環境は、この脆弱性の修正済みです。記載範囲外の旧系列については、発表には書かれていません。
情シスが今日やること
- 利用先と運用担当者を特定する。 IT資産台帳や開発部門の利用一覧で、GitLab.com、GitLab Dedicated、自社運用のどれかを確認します。自社運用なら、運用担当者にCE・EEの別と現在のバージョンの提示を依頼してください。具体的な管理画面の確認場所は資料に記載がありません。
- 対象環境の更新日を決める。 該当する3系列は、それぞれの修正版と照合します。今日の確認で未更新と分かった場合は、開発責任者や運用委託先に対象版とリスクを伝え、更新担当者と実施期限を決めてください。資料には一律の対応期限は示されていません。
- 書き込み権限と実証条件を共有する。 プロジェクト管理者に、公開プロジェクトへ書き込める利用者を確認してもらいます。同時に、権限の見直しは修正版への更新の代わりにはならないこと、Runnerへの接続がなくても実証が成立したことを伝えます。
- 更新後の版を記録する。 運用担当者から更新後のバージョンを受け取り、対象環境ごとに修正済みかを確認します。台帳には確認日、版、担当者を残し、未対応の環境を区別してください。
