GitLab CE/EE の CVE-2026-85706: 認証なしで任意のファイルを読まれる恐れ、CVSS 10.0・KEV 掲載

GitLab Community Edition・Enterprise Edition に、リポジトリのコミット API のパス制限の不備と認証確認の欠落により、認証なしでサーバー上の任意のファイルを読み取られうる脆弱性（CVE-2026-85706、CWE-22）があります。GitLab は「特定の条件下で」と説明しています。CVSS v3.1 は 10.0（AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N、GitLab の評価）で、認証は不要です。CISA は 2026-09-11 に既知の悪用がある脆弱性（KEV）として追加し、対応期限を 2026-09-14 としています。EPSS は 0.9736（パーセンタイル 0.999）と極めて高い水準です。

概要

項目	内容
CVE	CVE-2026-85706
製品	GitLab Community Edition（CE）・Enterprise Edition（EE）。自己管理（セルフホスト）版
問題	リポジトリのコミット API でパスの範囲が適切に制限されず、認証も強制されない。任意ファイルの読み取り（パストラバーサル、CWE-22）
攻撃条件	ネットワーク経由、認証・ユーザー操作とも不要。ただし GitLab は「特定の条件下で」としており、具体的な条件は未確認
結果	GitLab サーバー上の任意ファイルの読み取り（機密性への影響が大きい）。設定ファイルや秘密情報が読まれた場合の二次被害もありうる
悪用状況	CISA KEV に 2026-09-11 追加（対応期限 2026-09-14）。ランサムウェア利用は不明。攻撃の手口・規模は未確認

影響範囲

GitLab の情報では、次の範囲が影響を受けます。

• 18.7 以降 18.11.12 未満
• 19.0 以降 19.0.9 未満
• 19.1 以降 19.1.8 未満
• 19.2 以降 19.2.6 未満
• 19.3 以降 19.3.2 未満

修正は 18.11.12、19.0.9、19.1.8、19.2.6、19.3.2 です（GitLab のパッチリリースの案内に基づく）。

対策

• 利用中の系統に対応する修正版へ、速やかに更新する。KEV の対応期限はすでに過ぎている。
• インターネットから到達できる GitLab は、更新が済むまで、ネットワーク制限や認証付きのリバースプロキシで公開範囲を絞ることを検討する。
• CISA は KEV 掲載にあわせて、侵害の有無を確かめる調査（フォレンジックの初期確認）を求めている。コミット API へ不審なパスを含むアクセスがなかったか、Web サーバーとアプリケーションのログを点検する。
• 読み取られた可能性があるファイル（設定ファイル、トークン、鍵など）に含まれる秘密情報は、侵害が疑われる場合は更新・再発行を検討する。

数値と出典（2026-11-03 時点）

項目	内容
NVD の状態	Analyzed（2026-09-12 公開、2026-09-24 更新）
CVSS v3.1	10.0（GitLab が割り当て。AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N）
CWE	CWE-22（NVD）。CISA は CWE-35 として分類
EPSS	0.9736（パーセンタイル 0.999、2026-11-02 時点）
KEV	2026-09-11 追加、期限 2026-09-14、ランサムウェア利用は不明
出典	NVD、CISA KEV、GitLab のパッチリリース情報と課題管理、FIRST

未確認の点

• 「特定の条件下で」にあたる具体的な前提条件（設定・機能・公開範囲など）。
• 実際の攻撃の手口、標的、規模。
• 読み取られうるファイルの範囲と、他の脆弱性との連鎖の有無。
• GitLab.com などクラウド版への影響の有無。
• ランサムウェアでの利用の有無（KEV 上は「不明」）。