重要ポイント
- GitLab CE/EE の CI/CD の正規表現コンパイラーに整数オーバーフロー(CVE-2026-97229)。認証なしでサーバー上でコードを実行される恐れ
- 19.2 は 19.2.8 未満、19.3 は 19.3.4 未満、19.4 は 19.4.2 未満が対象。19.2.8・19.3.4・19.4.2 で修正
- 深刻度は Critical(CVSS 10.0)。悪用の報告は現時点でなし
- 対処: セルフホストの GitLab は修正版へ更新。GitLab.com は対応済み
バージョンと対処(まずここを確認)
| 製品 | 影響を受けるバージョン | 修正版(これ以上にする) |
|---|---|---|
| GitLab CE / EE 19.2 系 | 19.2.0 〜 19.2.7 | 19.2.8 |
| GitLab CE / EE 19.3 系 | 19.3.0 〜 19.3.3 | 19.3.4(既知の不具合あり、19.3.5 で修正予定) |
| GitLab CE / EE 19.4 系 | 19.4.0 〜 19.4.1 | 19.4.2 |
対処: 自社でホストしている GitLab を、お使いの系列の修正版以降に更新します(Omnibus の例: sudo apt-get install gitlab-ee / gitlab-ce など、導入方法に合わせて)。GitLab.com は更新済みで、GitLab Dedicated も対応は不要です。
確認: 管理画面の「Admin Area → Overview」、またはヘルプのページ(/help)でバージョンを確認します。
概要
2026年10月12日、GitLab は、パッチリリース 19.4.2・19.3.4・19.2.8 で、認証なしでサーバー上のコードを実行される恐れのある重大な脆弱性(CVE-2026-97229、CVSS 10.0)を修正したと公表しました。CI/CD の設定ファイルに書く正規表現を処理する部分で、検証が不十分なことが原因です。セルフホストの GitLab は、早めに更新してください。
影響と対処
影響を受けるもの
GitLab Community Edition(CE)と Enterprise Edition(EE)を自分で運用している環境です。19.2 より前の系列が影響を受けるかは、公式情報には書かれていません。
どんな問題か
CI/CD の設定にある正規表現を解析・評価する部分で整数オーバーフロー(計算の桁あふれ)が起き、細工した正規表現によって、ある条件下で認証なしでもサーバー上で任意のコードを実行される恐れがあります。GitLab は、悪用は確認されていないとしています(BleepingComputer の報道)。
対処方法
修正版に更新します。同じリリースで、そのほかに深刻度「高」の修正(CVE-2026-92883・CVE-2026-16301・CVE-2026-14814・CVE-2026-81839・CVE-2026-96893)も含まれています。回避策は公式情報に示されていません。なお 19.3.4 には、Ona 連携を有効にしている場合に、マージリクエストのページに不具合がある既知の問題があり、19.3.5 で修正される予定です。
確認方法
バージョンを確認し、上の表の範囲に当たるかを確かめます。インターネットに公開している GitLab は、更新が済むまでアクセス元を制限することも検討してください。
対応チェックリスト
- GitLab のバージョンを確認する
- 19.2.8・19.3.4・19.4.2 のいずれか(系列に合うもの)以降に更新する
- 公開している GitLab のアクセス制限を見直す
- 更新後、CI/CD の設定に身に覚えのない変更がないか確認する
出典
- Patch Release: 19.4.2, 19.3.4, 19.2.8(GitLab、2026年10月12日)
- GitLab warns of max severity code execution vulnerability(BleepingComputer、2026年10月12日)
