米サイバーセキュリティ・社会基盤安全保障局（CISA）は、セキュリティアップデートのリリースからわずか数週間後、攻撃者が人気開発プラットフォーム「GitLab」において最高危険度に分類される重大なセキュリティ脆弱性の悪用を開始したことを確認しました。
正規表現プロセッサにおける重大な脆弱性の詳細
この脆弱性はCVE-2026-97229として登録されており、「joaxcar」という偽名で知られるセキュリティ研究者によって発見されました。問題は、CI/CDパイプライン設定ファイル内の正規表現の解析、コンパイル、評価を担当するCI/CD正規表現コンパイラ（CI/CD Regular Expression Compiler）コンポーネントにあります。この脆弱性は、不十分な表現の検証を伴う整数オーバーフロー（integer overflow）の欠陥に起因しており、認証されていない攻撃者がプラットフォームサーバーを介して任意のコードをリモートから実行することを可能にします。
リリース手順と保護に関するガイドライン
GitLabは、コミュニティエディション（CE）および企業向けエディション（EE）のバージョン19.4.2、19.3.5、19.2.8以降において、このセキュリティ脆弱性に対処する緊急修正を速やかにリリースし、システム管理者やサーバー管理者に対し遅滞なくアップデートを適用するよう促しました。同社はまた、自己ホスト型サーバーを管理する顧客を支援するための脅威検出ツールもリリースしました。
公式の動きと悪用された脆弱性カタログ
CISAは本脆弱性を悪用された既知の脆弱性カタログ（KEV）に正式に追加し、連邦機関に対してサーバーの保護とアップデートを義務付ける拘束力のある指令（BOD 26-04）を発令しました。この指令は連邦機関のみを対象としていますが、同局は民間セクターのすべてのセキュリティチームに対し、この脆弱性の修正を最優先事項とするよう呼び掛けました。
プラットフォームに対する度重なるセキュリティ攻撃の背景
今回の脆弱性は、GitLabが直面した一連のセキュリティ問題の一環であり、CISAは2021年11月以降、実際の攻撃で悪用された同プラットフォームの6つのセキュリティ脆弱性を確認しています。なお、GitLabのDevSecOpsプラットフォームは、Fortune 100企業の50%以上で使用されており、世界中で7,000万人以上の登録ユーザーを擁しています。