「GitLab」で、認証なしにサーバを乗っ取ることが可能なCVSSスコア「10.0」の脆弱性が見つかった。影響は2014年以降の全バージョンに及ぶ。直近のパッチを適用していても、安全とは言い切れない恐れがある。 セルフマネージド版の運用開発ツール「GitLab」サーバで、事前のログインや認証をせずに、遠隔から任意のプログラムを実行できる深刻な脆弱（ぜいじゃく）性「CVE-2026-110264」が見つかった。この脆弱性は、2014年に公開された「GitLab 7.0」以降の全リリースに影響を及ぼす。 開発元のGitLab社は2026年10月21日（協定世界時）、CVE-2026-110264を修正するパッチを公開した。この問題は、セキュリティ研究者のヨハン・カールソン氏が同社のバグ報奨金プログラム「HackerOne」を通じて発見、報告したものだ。 パッチのリリースノートによると、この脆弱性は正規表現コンパイラに関するものであり、CVSS（共通脆弱性評価システム）のスコアは最高値の「10.0」に達する。「特定条件下で細工された正規表現をサーバがコンパイルする際、整数オーバーフロー（数値演算の上限超過に伴うメモリ境界外への書き込みエラー）が発生し、認証を受けていない第三者がサーバで任意のコードを実行できる状態にあった」と同社は説明する。 通常のパッチ公開に加えて、GitLab社は「18.11.13」「19.0.10」「19.1.9」「19.2.9」の4つの旧バージョンにもさかのぼってパッチを適用（バックポート）した。セキュリティアナリストのマリオ・アリエル・ガラルザ・マンセド氏は、企業向けSNS「LinkedIn」の投稿で、「これほど古いバージョンにパッチを適用するのは異例であり、事態の深刻さを物語っている」と指摘した。 GitLabによると、経済誌『Fortune』が選出する全米売上高上位100社「Fortune 100」の半数以上が同社のDevSecOps（開発、セキュリティ、運用）ツールを利用している。セルフマネージド版のGitLabサーバは、独自のソースコードやCI/CD（継続的インテグレーション／継続的デリバリー）のシークレット情報、アクセストークン、本番環境への接続情報といった機密データを保持していることが一般的だ。そのため、今回の脆弱性が企業に及ぼす影響は甚大になる恐れがある。 脅威検出技術を手掛けるSOC Primeの分析によると、この脆弱性を悪用された場合、認証情報の窃取やリポジトリの改ざん、サプライチェーン攻撃、システムへの不正アクセスの永続化、ネットワーク内での横方向への侵害拡大（ラテラルムーブメント）を招く危険性がある。サプライチェーン攻撃に発展すれば、顧客や取引先にも被害が及ぶ可能性があるという。 GitLab社は、セルフマネージド版のGitLabサーバを利用している企業に対して、可能な限り速やかに最新バージョンに更新することを推奨する。併せて同社は、攻撃の痕跡を見つけ出すための脅威検出ツールを2つ公開した。なお、マルチテナント型クラウドサービス「GitLab.com」やマネージドクラウド「GitLab Dedicated」のインフラには既に修正パッチが適用済みだ。 セキュリティ専門機関は企業に対して、セルフマネージド版GitLabサーバの稼働台数や所在を棚卸ししたうえで、2026年10月第4週までにパッチを適用するよう促した。本稿執筆時点の2026年10月22日の正午（米国東部夏時間）では、この脆弱性を悪用した実際のサイバー攻撃は確認されていない。2026年10月28日（日本標準時）時点では、プロセスをクラッシュさせる実証コード（PoC）は確認されているものの、実環境における組織的な侵害事例は報告されておらず、米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）の悪用脆弱性カタログ（KEV）にも追加されていない。 SOC Primeの研究者は、「外部ネットワークからアクセス可能で、認証も不要なCVSSスコア10.0の脆弱性は、攻撃者にとって格好の標的だ。セルフマネージド版のGitLabサーバはインターネット上に公開されていることが少なくないため、その危険性は極めて高い」と警鐘を鳴らす。 企業のセキュリティ担当者に対して、SOC Primeは不審な挙動への警戒を緩めないよう呼び掛ける。具体的には、GitLabアプリケーションプロセスの予期しないクラッシュ、レンダリングエラーの多発、身に覚えのないシェルの実行などに注意を払う必要がある。バージョンを更新した後は、GitLabのアプリケーションログやOSの稼働データを精査し、システムが侵害された痕跡がないかどうかを確認すべきだという。 GitLabは、ソフトウェア開発の工程において中核を担う重要なインフラだ。「そのため、ソースコードや成果物、コンテナイメージ、IaC（Infrastructure as Code）のテンプレート、デプロイの作業フローなどが攻撃者によって改ざんされていないかどうかも、調査担当者は見極めなければならない」とSOC Primeの研究者は警告する。 「一度でもGitLabサーバが侵害されれば、たとえサーバ自体の脆弱性を修正したとしても、開発プロジェクトの後工程にサプライチェーンリスクをもたらす危険性が残る」 マンセド氏によると、2026年10月12日（協定世界時）に公開された、正規表現に関する別の脆弱性「CVE-2026-97229」のパッチを適用した企業でも、今回のパッチをあらためて適用する必要がある。 なお、GitLab社が2026年10月21日に公開したセキュリティリリースには、最高深刻度以外にも、深刻度が「高」の脆弱性2件、「中」の脆弱性5件、「低」の脆弱性4件を解消する修正が含まれる。 Copyright © ITmedia, Inc. All Rights Reserved. 米国TechTargetの豊富な記事の中から、最新技術解説や注目分野の製品比較、海外企業のIT製品導入事例などを厳選してお届けします。 TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。 IT導入や運用管理に関する技術資料やレポートが閲覧でき、興味や必要性に合致した情報を、的確かつ迅速に入手できます レノボの法人専用タブレット「Lenovo ThinkTab X11 Gen 1」がもたらす現場革新 Microsoft 365侵害企業の9割はMFA導入済み 1002人調査で見えた盲点 なぜMicrosoftは「Rust」を標準言語に？ AIで進むC/C++書き換えの課題 Microsoft月例パッチ1400件超で過去最多 「限界点」を迎えたパッチ管理 なぜ「Claude Code」拡張は消しても危ないのか？ Cursorで不正版配信
Ver más en News Today