--- title: "GitLab に、細工した設定でサーバー上のプログラムを実行される欠陥、悪用が確認され KEV に追加（CVE-2026-97229）" url: https://n-t-p.io/worldsecurity/articles/gitlab-ce-ee-ci-regexp-integer-overflow-2026-97229 lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年10月30日 updated: 2026年10月30日 severity: 緊急 cve: CVE-2026-97229 --- # GitLab に、細工した設定でサーバー上のプログラムを実行される欠陥、悪用が確認され KEV に追加（CVE-2026-97229） > **TL;DR:** 米 CISA は 2026-10-29、GitLab Community / Enterprise Edition の脆弱性 CVE-2026-97229（CVSS 10.0）を KEV に追加した。認証なしでサーバー上のコードを実行されるおそれがある。対応期限は 2026-11-01。 **要点** - CISA が悪用の確認を理由に KEV へ追加（2026-10-29）。対応期限は 2026-11-01 - 認証なしで、CI/CD 設定の細工した正規表現からサーバー上のコードを実行されるおそれ（CVSS 10.0） - 修正版は 19.2.8・19.3.5・19.4.2。更新し、更新前後の記録も確認する GitLab（ソースコード管理・CI/CD の基盤ソフト）に、認証のない外部の利用者が、細工した設定でサーバー上のプログラムを実行できてしまう欠陥が見つかり、実際に悪用されていることが確認されました。 KEV とは、米国の CISA が「実際に悪用された」と確認した脆弱性の一覧です。 ## 何が問題か **CVE-2026-97229: GitLab Community Edition / Enterprise Edition** CI/CD の設定に書く「正規表現」（文字列のパターン）の検査が不十分で、細工したものを入れると計算の途中で数値があふれ（整数オーバーフロー）、サーバー上で任意のコードを実行されるおそれがあります。CVSS 上は、ネットワーク越しで、ログインも利用者の操作も要らず、攻撃の難しさは低いとされています。CISA の KEV の注記は、同じ Ruby の仕組み（Onigmo）の欠陥が他の製品にも影響しうると述べています。 分類（CWE）: CWE-190（整数オーバーフロー） ## 数値で見る | 項目 | 値 | |---|---| | CVE | CVE-2026-97229 | | KEV 追加日 | 2026-10-29 | | 対応期限 | 2026-11-01 | | CVSS | 10.0（v3.1・CRITICAL。NVD に載る GitLab 側の評価） | | EPSS | 0.18427（百分位 97.2%。2026-10-29 の値） | | 対象の版 | 19.2 系は 19.2.8 より前、19.3 系は 19.3.5 より前、19.4 系は 19.4.2 より前（NVD・GitLab のパッチ情報） | | 修正版 | 19.2.8・19.3.5・19.4.2 | ランサムウェア攻撃での悪用: 不明（CISA の記載は Unknown。「なかった」という意味ではありません） CVSS は深刻さの目安（10.0 が最大）、EPSS は今後 30 日以内に悪用される確率の推定で、百分位 97.2% は全 CVE の中で上位 3% 程度という意味です。対応期限は、米国の連邦機関に課された期限です。 ## 誰が気をつけるか 自分たちで GitLab（Community / Enterprise）を運用している組織です。インターネットから届く場所に置いている場合は特に急ぎます。GitLab.com などの提供サービスは、運営側が対処します。 ## 今やること 1. 自社で使っている GitLab の版を確認する。 2. 対象の版なら、19.2.8・19.3.5・19.4.2 のうち使っている系統の修正版に更新する。 3. すぐ更新できないときは、GitLab の案内にある緩和策を確認し、外部からの到達を絞る。 4. CISA は初動の調査（フォレンジックトリアージ）を求めています。更新の前後で、不審な CI/CD 設定の変更や実行の記録がないか確認する。 5. 対応期限（2026-11-01）は、米国連邦機関向けです。国内の組織も目安にしてください。 ## 用語メモ - **正規表現**: 文字列のパターンを書く記法。 - **整数オーバーフロー**: 数値が扱える範囲を超えてあふれ、想定外の動きになること。 - **CI/CD**: プログラムの検査や配布を自動で行う仕組み。 ## 出典（確認日 2026-10-30） - CISA Known Exploited Vulnerabilities Catalog — https://www.cisa.gov/known-exploited-vulnerabilities-catalog - GitLab 19.4.2 パッチリリース（影響する版と修正版を確認） — https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-4-2-released/ - Ruby の regexp 修正の告知（KEV の注記に記載。案内） — https://www.ruby-lang.org/en/news/2026/10/23/regexp-fixes-for-gitlab-cves - NVD CVE-2026-97229 — https://nvd.nist.gov/vuln/detail/CVE-2026-97229 ## 出典 - [CISA Known Exploited Vulnerabilities Catalog（JSON）](https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json) — CISA - [GitLab 19.4.2 パッチリリース](https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-4-2-released/) — ベンダー - [Ruby の regexp 修正の告知（KEV の注記。案内）](https://www.ruby-lang.org/en/news/2026/10/23/regexp-fixes-for-gitlab-cves) — Ruby - [NVD CVE-2026-97229](https://nvd.nist.gov/vuln/detail/CVE-2026-97229) — NIST NVD - [FIRST EPSS API](https://api.first.org/data/v1/epss) — FIRST --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/gitlab-ce-ee-ci-regexp-integer-overflow-2026-97229