GitLabは、Community Edition(CE)およびEnterprise Edition(EE)に存在する整数オーバーフロー脆弱性「CVE-2026-97229」について、実際に悪用されていることが確認されたと米CISAが発表した。CISAは2026年10月29日、この脆弱性を既知悪用脆弱性(KEV)カタログへ追加した。本脆弱性は、CI/CD設定内に仕込まれた特殊な正規表現を悪用することで、認証を経ていない攻撃者がGitLabサーバー上で任意のコードを実行できるというもので、CVSSスコアは最高値の10.0(CRITICAL)。GitLab CE/EEを自社運用しているすべての組織が対象であり、特にインターネットに公開しているインスタンスは即時対応が必要となる。
脆弱性の概要と影響を受ける製品
| 項目 | 内容 |
|---|---|
| CVE番号 | CVE-2026-97229 |
| ベンダー | GitLab |
| 対象製品 | GitLab Community Edition(CE) / Enterprise Edition(EE) |
| 脆弱性名 | GitLab Community Edition and Enterprise Edition Integer Overflow or Wraparound Vulnerability |
| 脆弱性タイプ | CWE-190(整数オーバーフロー/ラップアラウンド) |
| 影響 | 認証不要のリモートからの任意コード実行(RCE) |
| KEV追加日 | 2026年10月29日 |
| 米連邦機関対応期限 | 2026年11月1日 |
この脆弱性は、CI/CD設定の中で使われる正規表現の検証処理が不十分であることが原因とされている。特殊な正規表現をCI/CD設定に埋め込むことで、認証済みユーザーであることを必要とせず、GitLabサーバー側で任意コードが実行される可能性があると公式情報に記載されている。整数オーバーフロー(CWE-190)とは、プログラムが処理できる数値の範囲を超えた計算を行った際に、値が予期しない形で巻き戻ってしまう不具合の総称であり、本来は許可されないはずのメモリ領域へのアクセスや、意図しない処理の分岐を引き起こす典型的な原因となる。今回のケースでは、正規表現エンジンが文字列の長さや繰り返し回数を内部的に数値として扱う際の境界チェックが不十分だったために、攻撃者が用意した特殊なパターンによって想定外の挙動が発生し、最終的に任意コード実行にまで発展したと考えられる。影響を受けるバージョンや修正済みバージョンの詳細は、ベンダーのセキュリティアドバイザリを確認してほしい。
深刻度と悪用状況
CVSS 3.1のスコアは10.0(CRITICAL)で、ベクトル文字列は「CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H」。これは、攻撃元区分がネットワーク(AV:N)、攻撃条件の複雑さが低い(AC:L)、特権不要(PR:N)、ユーザー操作不要(UI:N)、スコープが変化する(S:C)、機密性・完全性・可用性すべてに高い影響(C:H/I:H/A:H)を与えることを意味する。つまり、攻撃者はログイン不要かつ特別な権限や被害者の操作を必要とせず、ネットワーク越しにシステムを完全に制圧できる可能性がある、極めて危険な組み合わせだ。CVSSの満点である10.0が付与される脆弱性は決して多くなく、それだけGitLab側もCISA側もこの問題を最優先の対応事項として扱っていることがうかがえる。
CISAがKEVカタログに追加したということは、この脆弱性が実際の攻撃で悪用されていることが確認された、という意味を持つ。KEVカタログへの掲載は、研究者による理論上の危険性の指摘ではなく、実環境で攻撃が観測された脆弱性のみが対象となるため、該当組織にとっては「いつか対応すればよい」ではなく「今すぐ対応すべき」案件であることを示している。ランサムウェアでの悪用については「不明」とされているが、米連邦機関には2026年11月1日までの対応が義務付けられており、これは極めて短い期限である。民間企業であっても、CISAのBOD 26-04ガイダンスに準拠した優先度でのパッチ適用が強く推奨される。
ベンダーはどんな修正を行ったか
GitLabはパッチリリース「GitLab 19.4.2」を公開し、この脆弱性に対応したことが公式情報のURLから確認できる。根本原因は、CI/CDの正規表現コンパイラが利用するRuby/Onigmo正規表現エンジン側の整数オーバーフロー問題にあるとされ、Ruby公式からも関連する修正情報が公開されている。この問題は正規表現の検証処理における入力チェックの不足に起因するため、修正では正規表現の処理経路における検証ロジックの強化が行われたとみられる。
注意すべき点として、公式情報では「同様のRuby/Onigmo整数オーバーフロー問題は、GitLab以外の他製品にも影響する可能性がある」と明記されている。GitLabを利用していない場合でも、Ruby/Onigmoの正規表現エンジンを利用する他のソフトウェアを運用している場合は、関連情報を確認しておくことが望ましい。Rubyは多くのWebアプリケーションフレームワークの基盤として広く使われており、正規表現エンジンという共通コンポーネントに起因する問題である以上、GitLab単体の対応だけで安心せず、自社で稼働している他のRuby製アプリケーションについても棚卸しを行うことが望ましい。具体的な修正コードの内容や詳細な技術的仕組みについては、ベンダーのセキュリティアドバイザリを確認してほしい。
CI/CDパイプラインが狙われる理由
今回の脆弱性が悪用されたCI/CD設定ファイルは、ソースコードの変更に応じて自動的にビルド・テスト・デプロイを実行する仕組みであり、多くの開発チームにとって日常的に編集・実行される領域である。攻撃者にとっては、この自動実行の仕組みに悪意あるコードや入力を混入させることができれば、人の目によるレビューを経ずにサーバー側で処理が走る可能性があるため、非常に魅力的な攻撃対象となる。また、CI/CDパイプラインはソースコード管理システムそのものと強く結びついており、実行環境がビルドサーバーの内部ネットワークや機密情報(APIキー、デプロイ用の認証情報など)にアクセスできる権限を持つケースも多い。そのため、今回のような脆弱性が突かれた場合、単一のリポジトリ侵害にとどまらず、組織全体のインフラへ被害が拡大するリスクがある点にも留意すべきである。
今すぐやるべき対策手順
- 手順1:バージョン確認 — 管理者画面(Admin Area)またはヘルプページからGitLabのバージョンを確認する。
- 手順2:アップデートの適用 — 公式パッチリリース「GitLab 19.4.2」など、修正済みバージョンへ速やかに更新する。具体的な対象バージョンや手順は公式のパッチリリース情報を確認する。
- 手順3:即時更新できない場合の回避策 — ベンダーの指示に従った緩和策を適用し、インターネットからのアクセスを制限するなど露出を減らす。BOD 26-04のクラウドサービス向けガイダンスに従うか、緩和策が利用できない場合は該当製品の利用停止も検討する。
- 手順4:侵害有無の確認 — CI/CD設定ファイルに不審な正規表現や変更履歴がないか確認し、GitLabサーバー上での異常なプロセス実行やアクセスログを確認する。侵害が疑われる場合はCISAの「Forensics Triage Requirements」に沿った調査を実施する。
- 手順5:再発防止の仕組み化 — パッチ適用後も、GitLabやその他主要コンポーネントのバージョンを定期的に確認し、新たなセキュリティアドバイザリやKEVカタログの更新を継続的にウォッチする運用体制を整えておく。
よくある質問
Q1. 無料版のCommunity Edition(CE)も対象ですか?
対象となる。公式情報ではCommunity Edition(CE)とEnterprise Edition(EE)の両方が本脆弱性の影響を受けるとされており、無償版を利用している場合も同様に対応が必要である。
Q2. すでに攻撃に使われているのですか?
CISAのKEVカタログに2026年10月29日付で追加されており、これは実際の攻撃での悪用が確認されたことを意味する。ランサムウェアでの利用については「不明」とされているが、悪用が確認済みである以上、優先度の高い対応が求められる。
Q3. 自社でGitLabを使っていない場合は無関係ですか?
GitLab自体を利用していなくても、根本原因であるRuby/Onigmoの正規表現エンジンの整数オーバーフロー問題は、同じコンポーネントを利用する他のソフトウェアにも影響し得ると公式情報で指摘されている。自社システムで利用しているRuby製アプリケーションやライブラリについても、関連情報を確認しておくことが望ましい。
まとめ
CVE-2026-97229は、CVSSスコア10.0という最高レベルの深刻度を持ち、認証不要でGitLabサーバーを完全に制圧されかねない重大な脆弱性であり、すでに実際の攻撃で悪用されていることが確認されている。GitLab CE/EEを運用している組織は、まず自社のバージョンを確認し、公式のパッチリリースへ速やかに更新することが最優先事項となる。更新が難しい場合でも、アクセス制限などの緩和策を講じ、ログを確認して侵害の有無を点検してほしい。また、根本原因がRuby/Onigmoという共通コンポーネントにある点も踏まえ、GitLab以外のシステムについても影響の有無を確認しておくことが望ましい。詳細な対象バージョンや修正内容については、必ずベンダーの公式セキュリティアドバイザリを確認した上で対応を進めること。
