GitLab

GitLabは木曜日、CVE-2026-85706として追跡されている「最大深刻度」のパストラバーサル脆弱性に対し、ユーザーに対しサーバーへのパッチ適用を直ちに実施するよう呼びかけました。

ハンドルネーム「s3ntago」を名乗るセキュリティ研究者によって発見され、GitLabのHackerOneバグ報奨金プログラムを通じて報告されたこのセキュリティ脆弱性は、リポジトリコミットAPIにおける不適切なパスの制限と、認証の強制措置の欠如に起因しています。

認証されていない攻撃者は、「特定の条件下」でCVE-2026-85706を悪用し、脆弱なサーバーから任意のデータ（認証情報、シークレット、機密情報など）を読み取ることが可能です。

GitLabは現時点で、この脆弱性が実環境で悪用されているとは確認していないが、その1日後、サイバーセキュリティ企業のwatchTowrは、攻撃者がすでにCVE-2026-85706に対するパッチが適用されていない、インターネットに公開されたGitLabサーバーの探索を開始していると報告した。

「watchTowr Intelは、最新の重大なGitLabパストラバーサル脆弱性であるCVE-2026-85706に対する実環境でのプローブをすでに観測しています。この脆弱性により、攻撃者は単一のHTTPリクエストで任意のファイルを読み取ることが可能になります」と同社は警告しました。

「最近のGitLabの脆弱性を踏まえると、無差別的な悪用が始まるまでそう遠くないだろうと予想されます。 [..] 防御担当者は、潜在的な悪用試みを特定するために、ログファイルを精査し、『file.path』パラメータを含む『/api/v4/projects/{id}/repository/commits/』URI への HTTP POST リクエストを探すべきです。」

昨日、GitLabは、GraphQLサブスクリプションシリアライザにおける不適切なデシリアライゼーションの脆弱性に起因する、CVE-2026-87719として追跡されている2つ目の重大な脆弱性に対する修正パッチを適用した。

CVE-2026-87719はGitLab EEに影響を及ぼし、Duo Chatへのアクセス権を持つ認証済みユーザーが、機密の認証情報やAdvanced Searchのインスタンス設定を盗み出すことを可能にします。

管理者は、できるだけ早くパッチを適用するよう警告されています

GitLabは木曜日、GitLab Community Edition（CE）およびEnterprise Edition（EE）のバージョン19.3.2、19.2.6、19.1において、これら2つのセキュリティ問題を修正し、ユーザーに対し直ちにシステムを更新するよう強く促した。

「これらのバージョンには重要なバグ修正およびセキュリティ修正が含まれており、すべてのセルフマネージドGitLab環境について、直ちにこれらのバージョンのいずれかにアップグレードすることを強く推奨します」と同社は木曜日に警告しました。「GitLab.comではすでに修正済みのバージョンが稼働しています。GitLab Dedicatedをご利用のお客様は、特別な対応を行う必要はありません。」

2023年5月、GitLabは、パッチが適用されていないサーバー上の独自ソフトウェアコード、ユーザー認証情報、トークン、ファイルなどの機密データを露出させる、別の「最大深刻度」のパストラバーサル脆弱性（CVE-2023-2825）に対処した。

その1年後、CISAとFBIは、ソフトウェア各社に対し、製品出荷前にパストラバーサル関連のセキュリティ脆弱性を排除するよう強く求めた。両機関は、こうした脆弱性について「少なくとも2007年以来、『許されない』とされてきた」と述べた。

さらに最近では、1月にGitLabは、コミュニティ版およびエンタープライズ版に影響を及ぼす高深刻度の二要素認証バイパス脆弱性に対してもパッチを適用しました。この脆弱性を悪用すると、標的のアカウントIDを知っている攻撃者が二要素認証を迂回できるようになります。

2021年11月以降、米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は、攻撃に悪用されたとして4つのGitLabの脆弱性を指摘しており、その中には今年2月の2件（CVE-2021-22 175 およびCVE-2021-39935）も含まれている。

GitLab DevSecOpsプラットフォームには3,000万人以上の登録ユーザーがおり、Nvidia、Airbus、T-Mobile、Lockheed Martin、Goldman Sachs、UBSなど、フォーチュン100企業の50％以上が利用しています。

9月11日 09:39（EDT）更新：watchTowerによるCVE-2026-85706の調査報告を追加しました。