【緊急】GitLab CVE-2026-97229：CISAが悪用確認のKEVに追加（10月29日）— 認証なしでサーバー上のコードを実行される恐れ、最新のパッチ版へ更新を（CVSS v3.1 10.0）

GitLabの脆弱性CVE-2026-97229（CVSS v3.1で10.0 CRITICAL）が、2026年10月29日にCISA（米国のサイバーセキュリティ機関）の「KEV」に追加されました。KEVは、実際に悪用された脆弱性のカタログです。ログインしていない第三者が、GitLabサーバー上で任意のコードを実行できる可能性がある欠陥です。自分で運用しているGitLab（セルフマネージド）は、最新のパッチ版へ更新してください。

注意したいのは、「10月12日の修正版（19.4.2など）に上げた」だけでは足りないことです。同じ種類の別の欠陥CVE-2026-110264（同じくCVSS 10.0）が10月21日に修正されており、10月12日の版にはまだ含まれていません。GitLab.comとGitLab Dedicatedは、GitLabが対応済みと案内しています。対象は、自分でサーバーに入れているCE/EE（セルフマネージド）です。

スコアの出どころ：10.0（CVSS v3.1、ネットワークから・低い複雑さ・権限不要・利用者の操作不要）は、NVDに載っているGitLab自身（CNA）の評価です。NVDは10月29日時点で「分析中」で、NIST自身のスコアはまだありません。GitLabの公式告知も同じ10.0です。なお、CISAのKEVはこの欠陥を「整数オーバーフロー」という分類名で載せ、NVDの弱点分類（CWE-190）と一致しています。

何が起きるのか（公表されている範囲）

• ▸場所：GitLabのCI/CD設定（パイプラインの設定）で使う「正規表現」を処理する部分です。細工された正規表現を渡すと、ログインしていない第三者がGitLabサーバー上で任意のコードを実行できる、とGitLabは書いています（「特定の条件下で」という限定つき）
• ▸原因：GitLab告知の題名は「CI/CD正規表現コンパイラの整数オーバーフロー」です。Ruby公式の告知は、正規表現を機械が読める形に変換する際、パターンのサイズの計算が桁あふれする問題だと説明しています
• ▸悪用の状況：CISAは10月29日にKEVへ追加しました。誰が・何件・いつ悪用したかは、CISAは書いていません。10月12日のGitLab告知には、悪用の記載はありません
• ▸見つけた人：GitLabのバグ報奨金制度（HackerOne）で報告されたものです。攻撃手順の詳細は公開されていません。この記事でも手順は書きません

影響を受けるバージョンと、上げるべき版

この欠陥の対象は、GitLab CE/EEの19.2系・19.3系・19.4系です（19.2は19.2.8未満、19.3は19.3.5未満、19.4は19.4.2未満）。ただし、10月21日に直った同種のCVE-2026-110264は7.0以降の広い範囲が対象です。そのため「自分は19.2より古いから関係ない」とは言えません。

• ▸両方を直す最低ライン（10月21日の版）：18.11.13／19.0.10／19.1.9／19.2.9／19.3.6／19.4.3／19.5.1
• ▸10月29日に出た最新（これを推奨）：18.11.14／19.0.11／19.1.10／19.2.10／19.3.7／19.4.5／19.5.3。10月29日の版は別件（CVE-2026-111943、侵害された証明書発行元の信頼取り消し）の修正ですが、10月21日の修正より新しい、各系統の最新版です
• ▸CVE-2026-110264：NVDでは「分析済み」、CVSS v3.1は同じく10.0。CISAの評価（10月21日時点）は「悪用なし」でした。KEVには載っていません（10月29日更新分のカタログで確認）
• ▸GitLab.com・GitLab Dedicated：GitLabが対応済みと案内しています

今日やること

• ✓★自分のGitLabの版を確認する。ログイン後の `/help` ページで版が出ます。上の「最新」より古ければ更新の対象です
• ✓★最新のパッチ版へ更新する。1台構成は、更新中に止まる時間が出ます（データ移行が終わるまでGitLabが起動しません）。複数台構成は、公式のゼロダウンタイム手順で止めずに更新できます（GitLabの告知）。更新手順は、必ずGitLab公式の「Update」ページで確認してください
• ✓インターネットに公開しているGitLabを最優先にする。社内からしか見えないものは、次の順番にしてかまいません（当サイトの補足）
• ✓更新の前後で、不審な痕跡がないか見る。GitLabは、悪用の試みを見つけるための検知ルールを自己管理の環境向けに用意しています（CVE-2026-97229では6つ、CVE-2026-110264では2つ。たとえば「Onigmo native worker crash」）。CISAもKEVの対象に「フォレンジック（痕跡調査）の初期確認」を求めています（米国の連邦機関向けの要件で、日本の事業者に義務はありません）
• ✓GitLab以外にも目を向ける。この欠陥の根はRubyの正規表現エンジン（Onigmo）にあります。利用者が入力した文字列から正規表現を作るRubyアプリは、Rubyの更新も必要です（次の節）

今すぐ更新できないとき

GitLabの告知には、更新以外の回避策は書かれていません（10月12日・21日・29日の告知を確認）。更新できるまでの間は、次のように被害を減らす手を打ってください。これは公式の手順ではなく、当サイトの補足です。

• ▸外部からのアクセスを絞る。VPNやIPアドレスの制限で、見える相手を限定する
• ▸CI/CD設定を外部の人が書き換えられないようにする。公開リポジトリや外部からの合流依頼を受けている場合は、権限を見直す
• ▸更新できるまでの期間のログを残す。上の検知ルールと、Webサーバーやアプリのログを、更新前後で保管しておく

Rubyの正規表現エンジンの問題でもある

KEVの備考は、「同じ根のRuby/Onigmoの整数オーバーフローで、ほかの製品も影響を受け得る」と書いています。Rubyは10月23日に、関連する4件（CVE-2026-89078・93577・97229・110264）の修正版を告知しました。

• ▸修正されたRuby：4.0系は4.0.9、3.4系は3.4.12、3.3系は3.3.13以降（Rubyの告知）
• ▸影響を受ける条件：アプリが、攻撃者が決められる文字列から正規表現を作るとき（`Regexp.new`・`Regexp.union`・`Regexp.compile`、または文字列の差し込み）。開発者が書いたパターンしか使わないアプリは対象外と、Rubyは書いています
• ▸タイムアウトや長さ制限は、確実な対策にならないとRubyは書いています。更新できない場合は、Rubyが示す回避策は、利用者の入力から正規表現を作らないことです
• ▸RubyはこれらについてまだCVEを取得していません。Rubyのバージョンだけを見て「脆弱性なし」と判断せず、使っているアプリ側の告知も確認してください

確認できなかったこと

• ▸実際の攻撃の件数・時期・攻撃者。CISAは書いていません。この記事は、日本国内の被害の有無を示せません
• ▸CVE-2026-110264が悪用されているか。10月21日時点のCISAの評価は「悪用なし」で、KEV未登録（10月29日更新分で確認）。のちに変わる可能性があります
• ▸「特定の条件下」が具体的に何か。GitLabは条件を公開していません。「ログイン不要」とだけ書かれています
• ▸NISTによるスコアの追加。10月29日時点でNVDは「分析中」です。また、JVN iPediaは確認時にサービス停止中でした

共有するならこの3行

• ▸GitLabの脆弱性CVE-2026-97229（CVSS v3.1 10.0）が、10月29日にCISAの「悪用確認」カタログ（KEV）に追加された。ログイン不要でサーバー上のコードを実行され得る
• ▸★自分で運用しているGitLabは、最新のパッチ版（19.5.3／19.4.5／19.3.7／19.2.10など）へ更新する。10月12日の版では、10月21日の同種の欠陥（CVE-2026-110264）が直っていない
• ▸インターネットに公開しているものを最優先に。更新前後の不審なアクセスの痕跡も確認する

根拠にしたページ