重要ポイント
- GitLab の CVE-2026-97229 が悪用されているとして、米CISAが2026年10月29日に KEV(悪用が確認された脆弱性)カタログへ追加
- 深刻度: CVSS 10.0。認証なしで、サーバー上で任意のコードを実行されるおそれがある(CI/CD の正規表現コンパイラの整数オーバーフロー)
- 対象: 自己管理型(セルフマネージド)の GitLab CE/EE 19.2 / 19.3 / 19.4 系の修正前の版
- 対処: 19.2.8・19.3.4・19.4.2 以降へ更新。CISA の対応期限は2026年11月1日
バージョンと対処(まずここを確認)
| 製品 | 影響を受けるバージョン | 修正版(これ以上にする) |
|---|---|---|
| GitLab CE/EE(自己管理型) | 19.2 系は 19.2.8 より前、19.3 系は 19.3.4 より前、19.4 系は 19.4.2 より前 | 19.2.8 / 19.3.4 / 19.4.2 以降 |
対処: 使っているブランチの修正版以降へ更新します。2026年10月21日に公開された、より新しいパッチリリース(19.5.1 など)へ上げると、ほかの修正も取り込めます。GitLab.com は修正済みで、GitLab Dedicated は対応不要と案内されています。
確認: 管理画面の「Admin Area → Dashboard」、または sudo gitlab-rake gitlab:env:info でバージョンを確認します。
概要
10月13日にお伝えした GitLab の CVSS 10.0 の脆弱性(CVE-2026-97229)について、米CISAは10月29日、実際に悪用されているとして KEV カタログに追加しました。自己管理型の GitLab を、まだ修正版に更新していない場合は、すぐに更新してください。
影響と対処
影響を受けるもの
自己管理型の GitLab CE/EE のうち、上の表の修正版より前のものです。インターネットから到達できる GitLab は、優先して確認してください。
どんな問題か
CI/CD の設定に書かれた正規表現を処理する部分で、整数オーバーフロー(数値が上限を超えて意図しない値になる問題)が起こり、認証なしの利用者が細工した正規表現でサーバー上のコードを実行できるおそれがあります。CISA は、同じ Ruby(Onigmo)の問題を原因とする影響が、ほかの製品にも出る可能性があると注記しています。
対処方法
修正版へ更新するのが確実な対策です。CISA は、更新に加えて「フォレンジック トリアージ」(侵害の有無の調査)を行うよう求めています。更新前にすでに悪用されていた可能性があるため、不審なパイプライン設定の変更や、見覚えのないプロセス・ユーザー・ジョブがないかを確認してください。
確認方法
sudo gitlab-rake gitlab:env:info でバージョンを確認し、上の表と見比べます。
対応チェックリスト
- GitLab のバージョンを確認する
- 19.2.8・19.3.4・19.4.2 以降(できれば最新のパッチ)へ更新する
- 更新前の期間について、不審な CI/CD の設定変更やジョブ、見覚えのないユーザー・プロセスがないか確認する
- 外部公開している場合は、アクセス元の制限(VPN・IP 制限)も検討する
出典
- CISA Known Exploited Vulnerabilities Catalog(CISA・2026年10月29日追加)
- GitLab 19.4.2 パッチリリース(GitLab)
- Regexp fixes for GitLab CVEs(Ruby・2026年10月23日)
