26.10.24 - 【注意】GitLab CE/EEに重大な脆弱性　自社サーバーで運用しているGitLabは今すぐ更新を

ソースコード管理やCI/CDに広く使われている GitLab で、深刻度が最大の脆弱性が見つかりました。PHPやNode.jsに続き、今月は開発・運用の基盤となるソフトウェアで重大な問題が相次いでいます。

何が起きているのか

• CVE-2026-97229（CVSS 10.0）：CI/CDの正規表現処理の不具合により、サーバー上でコードを実行される危険があります。10月12日に修正版が公開されました。
• 攻撃用のコード（PoC）がすでに公開されています。公開されたコードの作者によると、攻撃には、そのGitLab上の公開プロジェクトにブランチをpushできる権限が必要です。
• gitlab.comを利用している場合は対応不要です。対象は、自社のサーバーで運用しているGitLab（Self-Managed）です。

今すぐやるべきこと

• GitLabを 19.2.8／19.3.4／19.4.2 以降へアップデートする。
• 一部の報道では、10月21日に別の重大な脆弱性（CVE-2026-110264）も修正されたと伝えられています。最新の修正版は、必ずGitLabの公式セキュリティ情報で確認してください。
• 外部から誰でもアカウントを作れる設定や、公開プロジェクトへのpush権限を見直す。
• AI Gatewayを自社で運用している場合は、10月2日に修正された別の脆弱性（CVE-2026-90970、CVSS 9.9）にも対応が必要です（19.2.4／19.3.2／19.4.1）。

MetAIの状況について

MetAIはGitLabを使用していないため、今回の脆弱性の影響はありません。

MetAIがお手伝いできること

「社内のGitLabのバージョンが分からない」「アップデートで止められない」という企業さまへ、MetAIが次のことをお手伝いします。

• 緊急診断：GitLabをはじめ、社内で動いているソフトのバージョンと影響の有無を確認します。
• アップデート・移行：業務を止めずに更新できる手順を一緒に考え、実施まで支援します。
• 今後の備え：アクセス権限の見直しや、脆弱性情報の継続的なチェックで、次の問題に備えます。

最新の脆弱性情報は セキュリティ情報のページ にまとめています。ご相談は こちら から（無料相談30分）。

参考：Rapid7／CERT-EU／BleepingComputer