GitLabにクリティカル脆弱性、CVSS 10.0のRCEなど24件を修正
脆弱性の概要
GitLabは、同社製品に存在する脆弱性24件を修正したと発表しました。修正には、最高深刻度の「クリティカル」1件と、「ハイ」5件が含まれます。
修正版はGitLab 19.2.8、19.3.5、19.4.2で、GitLab.comにはすでに適用済みです。一方、自社運用（セルフマネージド）のGitLabインスタンスは、管理者が速やかに更新する必要があります。
クリティカルに分類されたのはCVE-2026-97229で、GitLab CI/CDの設定に関連します。細工された正規表現を処理させることで、認証されていない攻撃者がGitLabサーバー上で任意コードを実行できる可能性があるとされています。
影響を受けるシステムと深刻度
CVE-2026-97229はCVSS基本値10.0とされ、原因は正規表現コンパイラーにおける整数オーバーフローと、正規表現の検証不備と説明されています。認証不要でサーバー側のコード実行につながり得る点から、影響は大きいとみられます。
そのほか「ハイ」評価の5件として、クロスサイトスクリプティング（XSS）や、Developer権限のユーザーが保護ブランチ上で許可されていないCI/CDパイプラインを実行できる問題などが含まれます。現時点で、悪用状況の詳細は明らかになっていません。
対象はGitLab Community Edition（CE）およびEnterprise Edition（EE）です。GitLab Dedicatedの利用者は対応不要とされています。
同種の脆弱性に対する注意点
CI/CD設定や入力値処理（正規表現など）に起因する欠陥は、設定ファイル経由でサーバー側処理に到達しやすく、RCEへ発展するリスクがあります。外部から到達可能なGitLabの公開範囲や、CI/CDの利用形態を前提に優先度を判断することが重要です。
対策として、稼働バージョンを確認のうえGitLab 19.2.8、19.3.5、19.4.2または以降の修正版へ更新してください。更新までの間は外部アクセスの最小化、CI/CD設定変更やジョブ実行、管理者操作、異常リクエストの監視を強化し、必要に応じてトークンやRunner資格情報の失効・再発行も検討すべきです。