GitLabの脆弱性が既知悪用リスト入り。自己管理環境を確認
バグマゲドン対策委員会 · 日本語編集版 · 内容更新 2026-10-30
CISAは29日、GitLabのCVE-2026-97229を既知悪用リストへ追加しました。自己管理の対象環境では、CI/CD設定の処理からサーバー上の不正なコード実行につながるおそれがあります。
日本語要約・編集：バグマゲドン対策委員会。本記事公開：2026-10-30 / 本記事更新：2026-10-30 / 原文確認：2026-10-30。
原文発行：GitLab / 原文公表：2026-10-12 / 追加資料更新：2026-10-29（CISA）。
対象と影響
自社や開発委託先が管理するGitLabが対象です。ソースコードや開発用の認証情報への影響を調べる必要があります。GitLab.com・GitLab Dedicatedは提供元が修正済みとしています。
自社で確認すること
自己管理GitLabの修正状況と、公式検知ルールによる不審な処理の調査を開発担当に確認する。
- CVE-2026-97229の対象は19.2系の19.2.8未満、19.3系の19.3.5未満、19.4系の19.4.2未満。利用版と公開範囲を確認する。
- 利用系列の最新の修正版へ更新する。10月21日には別件CVE-2026-110264への追加修正も公表されており、12日の修正だけで全件対応済みとしない。
- GitLabが公開する本件の検知ルールでログを確認する。不審な変更や処理があれば、ソースコード・CI/CDの秘密情報への影響を調査する。
攻撃の流れと防御の確認箇所
CI/CD設定への不正入力 → 正規表現の処理 → GitLab上で不正実行
防御の確認箇所：自己管理GitLabの更新・処理ログの確認
優先度の考え方
至急確認。CVE-2026-97229はGitLab公表のCVSS3.1基本値10.0で、CISAは10月29日に悪用の証拠に基づきKEV追加。別件CVE-2026-110264の悪用確認を意味しません。
優先度は編集上の判断です。公式CVSSや、自社への実際の影響の確定とは区別してください。
原文で言及されたCVE
報告の範囲
自己管理GitLabの対象版。特定企業の侵害や日本の被害件数を示していません。
原文と確認箇所
GitLabの10月12日リリース本文で対象版・修正版・GitLab管理環境の修正・本件検知ルール6件を確認。CISAの10月29日alertで97229のKEV追加を確認。10月21日のGitLab追加修正とCERT-EU 2026-019は別件110264として区別。
海外の公的機関・ベンダーの一次情報を確認し、日本の小規模企業向けに独自要約。全文翻訳ではありません。対策優先度と小規模企業への影響は編集上の判断で、公式CVSSとは区別しています。