情報取得日: 2026/10/29・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2026-97229 |
|---|---|
| 製品 | GitLab / GitLab Community Edition / Enterprise Edition（自己管理型）19.2〜19.2.8 未満 / 19.3〜19.3.5 未満 / 19.4〜19.4.2 未満 |
| CVSS | 10.0（Critical） CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H |
| 種別 (CWE) | CWE-190 整数オーバーフローまたはラップアラウンド |
| 登録／公開日 | 2026/10/29 |
| KEV 期限 | 2026/11/01 まで（米国連邦機関向け目安） |
| 推奨対応 | ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。緩和策が利用できない場合はクラウドサービス向けの BOD 26-04 指針に従うか、製品の使用を中止する。各資産のインターネット露出の評価は利用者側の責任である。 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2026-97229 |
**GitLab の CI/CD 設定で使う正規表現の検証が不十分で、未認証の攻撃者がサーバ上で任意のコードを実行できる。** GitLab の 2026年10月12日のパッチリリース（19.4.2 / 19.3.5 / 19.2.8）によれば、CI/CD 設定内に細工した正規表現を入れると、正規表現コンパイラで整数オーバーフローが起き、条件によってはコード実行に至る。報告者は HackerOne 経由の joaxcar。 **評価値と悪用。** CVSS は GitLab の CVSS 3.1 で **10.0 Critical**（認証不要・スコープ変更あり）。NVD は Undergoing Analysis。CISA は2026年10月29日に KEV へ収載して実際の悪用を確認しており、是正期限は **2026年11月1日** と短い。悪用の具体的な手口は公表されていない。GitLab.com と GitLab Dedicated は GitLab 側で修正済みで、対応が要るのは自己管理型の環境である。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | 対象外 |
該当しない。GitLab は AWS のマネージドサービスとしては提供されていない。
EC2 / EKS 上で自己管理型 GitLab を動かしている構成は、下の『Linux / 自前環境』と同じ扱いになる。AWS 個別の告知は 2026-10-30 時点で確認できていない。
参照リンク
|
| GCP | 対象外 |
該当しない。GitLab は GCP のマネージドサービスとしては提供されていない。
Compute Engine / GKE 上の自己管理型 GitLab は『Linux / 自前環境』と同じ扱いになる。Google Cloud 個別の告知は 2026-10-30 時点で確認できていない。
参照リンク
|
| Azure | 対象外 |
該当しない。GitLab は Azure のマネージドサービスとしては提供されていない。
Azure VM / AKS 上の自己管理型 GitLab は『Linux / 自前環境』と同じ扱いになる。Microsoft 個別の告知は 2026-10-30 時点で確認できていない。
参照リンク
|
| Linux | パッチあり（アプリ更新） |
Omnibus パッケージ / Docker イメージ / Helm チャートのいずれでも、使っている系列の修正版（19.4.2・19.3.5・19.2.8 以降）へ更新する。
GitLab は GitLab 社の公式リポジトリから配布される製品で、ディストリの標準パッケージ更新では上がらない。
参照リンク
|
**自己管理型 GitLab を修正版へ上げる。** GitLab は回避策を示していない。 - **19.4 系**: 19.4.2 以降 - **19.3 系**: 19.3.5 以降 - **19.2 系**: 19.2.8 以降 同じリリースには High の CVE（構文ハイライトの XSS・CVSS 8.7 など）も含まれるため、まとめて塞げる。 **あわせて行うこと。** KEV 収載は実際に悪用されていることを意味するので、更新だけでなく、GitLab のパッチリリース記事にある検知の手がかり（threat detections）を使って悪用の痕跡が無いかを確認する。インターネットから到達できる GitLab は優先して更新する。
Critical（CVSS 10.0）に分類されるGitLab GitLab Community Edition / Enterprise Edition（自己管理型）19.2〜19.2.8 未満 / 19.3〜19.3.5 未満 / 19.4〜19.4.2 未満の脆弱性です。**GitLab の CI/CD 設定で使う正規表現の検証が不十分で、未認証の攻撃者がサーバ上で任意のコードを実行できる。** GitLab の 2026年10月12日のパッチリリース（19.4.2 / 19.3.5 / 19.2.8）によれば、CI/CD 設定内に細工した正規表現を入れると、正規表現コンパイラで整数オーバーフローが起き、条件によってはコード実行に至る。報告者は HackerOne 経由の joaxcar。 **評価値と悪用。** CVSS は GitLab の CVSS 3.1 で **10.0 Critical**（認証不要・スコープ変更あり）。NVD は Undergoing Analysis。CISA は2026年10月29日に KEV へ収載して実際の悪用を確認しており、是正期限は **2026年11月1日** と短い。悪用の具体的な手口は公表されていない。GitLab.com と GitLab Dedicated は GitLab 側で修正済みで、対応が要るのは自己管理型の環境である。
**自己管理型 GitLab を修正版へ上げる。** GitLab は回避策を示していない。 - **19.4 系**: 19.4.2 以降 - **19.3 系**: 19.3.5 以降 - **19.2 系**: 19.2.8 以降 同じリリースには High の CVE（構文ハイライトの XSS・CVSS 8.7 など）も含まれるため、まとめて塞げる。 **あわせて行うこと。** KEV 収載は実際に悪用されていることを意味するので、更新だけでなく、GitLab のパッチリリース記事にある検知の手がかり（threat detections）を使って悪用の痕跡が無いかを確認する。インターネットから到達できる GitLab は優先して更新する。
GitLab GitLab Community Edition / Enterprise Edition（自己管理型）19.2〜19.2.8 未満 / 19.3〜19.3.5 未満 / 19.4〜19.4.2 未満 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-97229）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/11/01 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。緩和策が利用できない場合はクラウドサービス向けの BOD 26-04 指針に従うか、製品の使用を中止する。各資産のインターネット露出の評価は利用者側の責任である。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください。