GitLabのCVSS10.0パストラバーサル脆弱性、パッチ公開翌日には野生下での悪用探索を観測

概要

GitLabは9月10日、CE/EE(Community Edition/Enterprise Edition)を対象とした緊急パッチ19.3.2、19.2.6、19.1.8をリリースし、18件の脆弱性をまとめて修正した。中でも突出しているのが、最大深刻度となるCVSS10.0のパストラバーサル脆弱性CVE-2026-85706で、リポジトリコミットAPIにおけるパス制限の不備と認証の欠落により、未認証の攻撃者がサーバー上の任意ファイルを読み取れる状態にあった。さらにCVSS9.9の危険な逆シリアル化脆弱性CVE-2026-87719(GraphQLサブスクリプション機能に起因)も含まれており、いずれも自己管理(self-managed)環境に影響する。GitLab.comは既にパッチ適用済みで、Dedicated顧客の対応は不要とされる。

パッチ公開からわずか1日というスピードで実際の悪用の試みが観測され始めた点が、今回最も注視すべき事実だ。脅威インテリジェンス企業watchTowrは、2026年9月11日06:00 UTC以降、CVE-2026-85706を狙った野生下での探索活動を検知したと報告している。

CVE-2026-85706の技術的詳細と悪用条件

CVE-2026-85706は、/api/v4/projects/{id}/repository/commits/エンドポイントへのHTTPリクエストでfile_pathパラメータを細工することにより、認証なしでサーバー上の任意ファイルを読み取れるというものだ。watchTowrの脅威情報責任者Jake Knott氏は、悪用の最小要件について「少なくとも1つのパブリックプロジェクトが存在すれば悪用可能」と説明し、ログファイルや設定ファイルからの認証情報抽出につながりうると警告した。Knott氏はさらに、GitLabが攻撃者にとって魅力的な標的である理由として、ソースコード、CI/CDシークレット、認証情報へのアクセスに加え、ビルドパイプラインへのコード注入が可能になる点を挙げている。同氏は、これが数週間のうちに即座に悪用された2件目の重大GitLab脆弱性であるとも指摘しており、先行するGraphQL関連の脆弱性でも同様の即時悪用が確認されていたという。

影響を受けるバージョンはCE/EEの18.7以降19.1.8未満、19.2以降19.2.6未満、19.3以降19.3.2未満と広範囲に及ぶ。

残る17件の脆弱性と対応

今回のパッチではCVE-2026-85706、CVE-2026-87719以外にも、CVSS8.5のバッファオーバーフロー(Advanced Search機能のバッファ管理不備、CVE-2026-88765)や認可不備(CVE-2026-79708)、CVSS8.2のクロスサイトスクリプティング(CVE-2026-78252)など、深刻度の異なる脆弱性が計18件修正されている。多くはEE限定だが、パストラバーサルやXSS、サービス拒否など一部はCE/EE双方に影響する。

GitLabは自己管理環境の運用者に対し、直ちに19.3.2/19.2.6/19.1.8へアップグレードするよう強く推奨している。即時のアップグレードが難しい場合は、公開プロジェクトへのアクセスを一時的に制限するなどの緩和策も選択肢となる。侵害調査の観点では、Knott氏が推奨するように、/api/v4/projects/{id}/repository/commits/へのfile_pathパラメータを含むPOSTリクエストのログを確認することで、悪用の痕跡を検出できる可能性がある。公開直後から実悪用が確認された今回のケースは、自己管理型GitLabを運用する組織にとってパッチ適用の緊急性を改めて示す事例と言える。