# GitLabの脆弱性が既知悪用リスト入り。自己管理環境を確認

Canonical: https://security.qutori.jp/article/gitlab-regex-kev-oct2026.html
Language: ja
編集・日本語要約: バグマゲドン対策委員会
本ページ内容更新日: 2026-10-30

CISAは29日、GitLabのCVE-2026-97229を既知悪用リストへ追加しました。自己管理の対象環境では、CI/CD設定の処理からサーバー上の不正なコード実行につながるおそれがあります。

日本語要約・編集：バグマゲドン対策委員会。本記事公開：2026-10-30 / 本記事更新：2026-10-30 / 原文確認：2026-10-30。

原文発行：GitLab / 原文公表：2026-10-12 / 追加資料更新：2026-10-29（CISA）。

## 対象と影響

自社や開発委託先が管理するGitLabが対象です。ソースコードや開発用の認証情報への影響を調べる必要があります。GitLab.com・GitLab Dedicatedは提供元が修正済みとしています。

## 自社で確認すること

自己管理GitLabの修正状況と、公式検知ルールによる不審な処理の調査を開発担当に確認する。

1. CVE-2026-97229の対象は19.2系の19.2.8未満、19.3系の19.3.5未満、19.4系の19.4.2未満。利用版と公開範囲を確認する。
2. 利用系列の最新の修正版へ更新する。10月21日には別件CVE-2026-110264への追加修正も公表されており、12日の修正だけで全件対応済みとしない。
3. GitLabが公開する本件の検知ルールでログを確認する。不審な変更や処理があれば、ソースコード・CI/CDの秘密情報への影響を調査する。

## 攻撃の流れと防御の確認箇所

CI/CD設定への不正入力 → 正規表現の処理 → GitLab上で不正実行

防御の確認箇所：自己管理GitLabの更新・処理ログの確認

## 優先度の考え方

至急確認。CVE-2026-97229はGitLab公表のCVSS3.1基本値10.0で、CISAは10月29日に悪用の証拠に基づきKEV追加。別件CVE-2026-110264の悪用確認を意味しません。

優先度は編集上の判断です。公式CVSSや、自社への実際の影響の確定とは区別してください。

## 原文で言及されたCVE

- [CVE-2026-97229](https://www.cve.org/CVERecord?id=CVE-2026-97229)
- [CVE-2026-110264](https://www.cve.org/CVERecord?id=CVE-2026-110264)

- [タイムラインで関連情報を探す](https://security.qutori.jp/timeline.html)

## 報告の範囲

自己管理GitLabの対象版。特定企業の侵害や日本の被害件数を示していません。

## 原文と確認箇所

- [GitLab — GitLab Critical Patch Release: 19.4.2, 19.3.5, 19.2.8](https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-4-2-released/)
- [CISAの更新情報](https://www.cisa.gov/news-events/alerts/2026/10/29/cisa-adds-two-known-exploited-vulnerabilities-catalog)
- [追加の一次資料](https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-5-1-released/)
- [追加の一次資料](https://www.cert.europa.eu/publications/security-advisories/2026-019)

GitLabの10月12日リリース本文で対象版・修正版・GitLab管理環境の修正・本件検知ルール6件を確認。CISAの10月29日alertで97229のKEV追加を確認。10月21日のGitLab追加修正とCERT-EU 2026-019は別件110264として区別。

海外の公的機関・ベンダーの一次情報を確認し、日本の小規模企業向けに独自要約。全文翻訳ではありません。対策優先度と小規模企業への影響は編集上の判断で、公式CVSSとは区別しています。

- [ニュース一覧](https://security.qutori.jp/news.html)
- [出典・編集方針](https://security.qutori.jp/about.html)