GitLabは、CI/CD Regular Expression Compilerコンポーネントに存在する、重大度が最大レベルのセキュリティ脆弱性についてユーザーに警告した。この脆弱性により、リモートの認証されていない攻撃者が、標的となるGitLabサーバー上で任意のコードを実行できる可能性がある。脆弱性にはCVE-2026-97229の番号が割り当てられており、joaxcarという別名を使用するセキュリティ研究者が発見し、HackerOneのバグ報奨金プログラムを通じて報告した。
脆弱性はどのように機能するのか？
この問題は、CI/CDパイプラインの設定ファイル内にある正規表現を解析、コンパイル、評価するコンポーネントである正規表現コンパイラーにおける、整数オーバーフローの脆弱性に関連している。GitLabの説明によると、特定の条件下では、CI/CD設定内に特別に細工された式を配置することで、正規表現の不十分な検証を悪用でき、認証されていないユーザーがGitLabサーバー上でコードを実行できる可能性がある。
影響を受けるバージョンとアップデート
GitLabは、Community EditionおよびEnterprise Editionで、以下のバージョンにおいて問題を修正した。
- 19.2.8以降。19.2.8未満のバージョンに代わるもの。
- 19.3.4以降。19.3.4未満のバージョンに代わるもの。
- 19.4.2以降。19.4.2未満のバージョンに代わるもの。
同社は、GitLabのセルフホスト型インストールを利用するすべてのユーザーに対し、これらのいずれかのバージョンへ直ちにアップグレードするよう推奨している。これらのバージョンには、バグとセキュリティ脆弱性に対する修正も含まれている。GitLab.comサービスはすでに修正済みバージョンで稼働しており、同社によると、GitLab Dedicatedの顧客が取るべき対応はない。
なぜこのニュースが重要なのか？
この脆弱性が重要なのは、悪用に認証を必要としない一方で、攻撃に成功すると、プロジェクトやCI/CDパイプラインをホストするサーバー上でコードが実行される可能性があるためだ。そのため、実際の影響範囲は、GitLab.comやGitLab Dedicatedのユーザーではなく、GitLabを自ら管理する環境に集中していると、入手可能な情報では示されている。
今回の対応は、GitLabがここ数か月の間に修正してきた一連の脆弱性に続くものだ。1月には、CVE-2026-0723という番号が付けられた、二要素認証を回避できる重大度の高い脆弱性を修正した。一方、先月には、CVE-2026-85706という別の重大度が最大レベルの脆弱性を修正した。この脆弱性では、認証されていない攻撃者が、影響を受けるサーバーから認証情報や秘密情報を含む機密データを読み取ることが可能だった。
米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は、CVE-2026-85706を修正の翌日に実際に悪用されている脆弱性のカタログへ追加し、連邦機関に対して3日以内にシステムを保護するよう要請した。また、公開された情報によると、CISAは2021年11月以降、攻撃において悪用されたGitLabの脆弱性を5件確認しており、その中にはランサムウェア攻撃を実行するグループによって使用された脆弱性も含まれている。
現時点で新たな脆弱性CVE-2026-97229が実際に悪用されたことを、情報源は証明していない。そのため、確実な対応は、セルフホスト版を緊急に更新し、関連するCI/CD設定を確認することとなる。