注意喚起2026.10.29

GitLabに認証なしでコードを実行される脆弱性、悪用を確認。自社運用は19.4.2などへ更新を

3分で読める
一次資料3件
セキュリティ図鑑編集部

10.0

CVE-2026-97229のCVSS

最大値

3つ

修正版の系統（19.2・19.3・19.4）

10月12日公開

10月29日

CISAがKEVに追加

悪用を確認

SUMMARY

要点をまとめると

01
GitLabは2026年10月12日、CI/CDの正規表現の処理に認証なしで任意のコードを実行される脆弱性（CVE-2026-97229、CVSS 10.0）を修正しました。
02
米CISAは10月29日、悪用を確認した一覧（KEV）に加えています。
03
自社のサーバーでGitLabを動かしている会社は、19.4.2・19.3.5・19.2.8以降か確かめ、古ければすぐに更新してください。

TO DO

やること全4つと手順を見る →

この記事をスライドで理解する（6枚）

1 / 6

この記事の流れ

GitLabに認証なしでコードを実行される脆弱性、悪用を確認。自社運用は19.4.2などへ更新を

GitLabの何が危ないの？

CI/CDの設定に細工した正規表現を書かれると、ログインしていない人でもサーバー上でコードを実行できるおそれがあります。CISAが10月29日に悪用を確認しました。

10.0CVE-2026-97229のCVSS

3つ修正版の系統（19.2・19.3・19.4）

10月29日CISAがKEVに追加

数字で見る

数字で見ると、こうなります

CVE-2026-97229のCVSS：10.0／修正版の系統（19.2・19.3・19.4）：3つ

10月12日GitLabが修正19.4.2、19.3.5、19.2.8を公開。CVSS 10.0

10月23日Rubyが修正原因の正規表現エンジンを4.0.9などで修正

10月29日CISAがKEVに追加実際の攻撃での悪用を確認

POINT 1

発表されている事実

GitLabの何が危ないの？

本文で読む

GitLab CE/EE19.2系19.2.8より前は対象

GitLab CE/EE19.3系19.3.5より前は対象

GitLab CE/EE19.4系19.4.2より前は対象

POINT 2

自社が対象か確かめる

うちは対象？

自社のサーバーで動かすGitLabが19.4.2・19.3.5・19.2.8より前なら対象です。GitLab.comだけなら作業は要りません。

本文で読む

STEP 1修正版へ更新回避策はなし。バックアップを取って更新

STEP 2入口を絞るVPNやIP制限の内側に。サインアップ設定も確認

STEP 3痕跡を調べるCI/CD設定・管理者・トークンの変更を確認

STEP 4Rubyも更新4.0.9、3.4.12、3.3.13以降に

POINT 3

今すぐやること

まず何をすればいいの？

修正版へ更新してください。回避策はありません。あわせて、見覚えのない管理者やトークンがないかを確かめます。

本文で読む

修正版へ更新する。

インターネットからの入口を絞る。

侵入の痕跡を調べる。

まとめ

今すぐやること

くわしい手順と出典は、本文で確かめてください。

本文で読む

ソースコードの管理やCI/CDに使われるGitLabで、外部から乗っ取られるおそれのある脆弱性が実際の攻撃に使われています。GitLabが10月12日に修正版を出し、米CISAが10月29日に「悪用を確認した脆弱性」の一覧（KEV）へ加えました。対象は、自社のサーバーやクラウド上で動かしている「セルフマネージド」のGitLabです。

01発表されている事実

社長

GitLabの何が危ないの？

ハカセ

10月12日GitLabが修正

19.4.2、19.3.5、19.2.8を公開。CVSS 10.0

10月23日Rubyが修正

原因の正規表現エンジンを4.0.9などで修正

10月29日CISAがKEVに追加

実際の攻撃での悪用を確認

10月12日
GitLab
19.4.2、19.3.5、19.2.8を公開。CVE-2026-97229（深刻度Critical、CVSS 10.0）を修正。GitLab.comとGitLab Dedicatedは修正済み
10月23日
Ruby
原因はRubyの正規表現エンジン（Onigmo）の整数オーバーフロー。Ruby 4.0.9、3.4.12、3.3.13で修正
10月29日
CISA
KEVに追加。同じRubyの不具合がほかの製品にも影響しうると注記

GitLabによると、CI/CDの設定に細工した正規表現を書かれると、認証していない利用者でもGitLabのサーバー上で任意のコードを実行できるおそれがありました。GitLabは、セルフマネージドの利用者向けに検知ルールを6つ公開しています。

02自社が対象か確かめる

社長

うちは対象？

自社のサーバーで動かすGitLabが19.4.2・19.3.5・19.2.8より前なら対象です。GitLab.comだけなら作業は要りません。

ハカセ

GitLab CE/EE19.2系

19.2.8より前は対象

GitLab CE/EE19.3系

19.3.5より前は対象

GitLab CE/EE19.4系

19.4.2より前は対象

対象は、GitLab CE/EEの次の版です。

19.2系：19.2.8より前
19.3系：19.3.5より前
19.4系：19.4.2より前

版は、GitLabにログインして画面右上のヘルプから「Help」のページを開くと表示されます。サーバーに入れる担当者は、sudo gitlab-rake gitlab:env:info でも確かめられます。GitLab.comを使っているだけなら、作業は要りません。開発を外部の会社に任せている場合は、その会社がGitLabを自社運用しているか、版はいくつかを聞いてください。

03今すぐやること

社長

まず何をすればいいの？

修正版へ更新してください。回避策はありません。あわせて、見覚えのない管理者やトークンがないかを確かめます。

ハカセ

STEP 1修正版へ更新

回避策はなし。バックアップを取って更新

STEP 2入口を絞る

VPNやIP制限の内側に。サインアップ設定も確認

STEP 3痕跡を調べる

CI/CD設定・管理者・トークンの変更を確認

STEP 4Rubyも更新

4.0.9、3.4.12、3.3.13以降に

修正版へ更新する。19.4.2、19.3.5、19.2.8以降へ上げます。GitLabは回避策を示しておらず、「できるだけ早く最新版へ」としています。パッケージ版はOSのパッケージ管理で、Docker版はイメージを差し替えて更新します。更新前にバックアップを取ります。
インターネットからの入口を絞る。社内だけで使うなら、VPNや送信元IPの制限の内側に置きます。だれでもアカウントを作れる設定（サインアップ）になっていないかも確かめます。
侵入の痕跡を調べる。CISAはこの脆弱性を、調査（フォレンジック）が必要な対象に指定しています。見覚えのないCI/CDの設定変更、管理者の追加、アクセストークンの発行がないかを確かめ、怪しければトークンや鍵を入れ替えます。
ほかのRuby製アプリも確認する。利用者が入力した文字列から正規表現を作るRubyのアプリは、同じ不具合の影響を受けえます。Rubyを4.0.9、3.4.12、3.3.13以降にします。

04同じことを防ぐには

GitLabのように社内の大事な情報が集まる道具は、乗っ取られるとソースコードやクラウドの鍵まで一度に持ち出されます。更新の担当者と、悪用の情報を受け取る窓口（GitLabのセキュリティ通知やJPCERT/CCのメール）を決めておくと漏れが減ります。外部から見える自社のサーバーを洗い出すには、図鑑の「脆弱性診断」で依頼先を比べられます。侵入が疑われるときは「事故対応・フォレンジック」の会社に相談してください。