■ BLACK OCTOBER

CVE-2026-97229

GitLab CE/EE CI/CD 正規表現コンパイラの整数オーバーフロー

CRITICAL / 緊急● 悪用確認済み（CISA KEV）

GitLabのCI/CD設定で使われる正規表現コンパイラの検証不備（整数オーバーフロー）により、特定条件下で未認証の攻撃者が細工した正規表現を通じてGitLabサーバー上で任意のコードを実行できる可能性がある。

基本情報

CVE ID
CVE-2026-97229
CVSSスコア
10
CVSSベクター
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CWE
CWE-190
公開日
2026-10-12
更新日
不明
悪用状況
2026-10-29 に CISA KEV へ追加（悪用確認）。

影響製品・バージョン

  • GitLab CE/EE 19.2 系（19.2.8 未満）
  • GitLab CE/EE 19.3 系（19.3.5 未満）
  • GitLab CE/EE 19.4 系（19.4.2 未満）

修正バージョン

  • 19.2.8
  • 19.3.5
  • 19.4.2

対応策

  • セルフマネージド版を修正バージョンへ更新する（GitLab.com / Dedicated は適用済み）
  • 19.3 系は 19.3.4 に不具合があるため 19.3.5 を適用する

参考資料

  1. GitLab Critical Patch Release: 19.4.2, 19.3.5, 19.2.8
    GitLab公開日: 2026-10-12セキュリティアドバイザリ一次情報取得日: 2026-10-31
  2. GitLab warns of max severity code execution vulnerability
    BleepingComputer公開日: 2026-10-12報道二次情報取得日: 2026-10-31
  3. Known Exploited Vulnerabilities Catalog
    CISA公開日: 不明公的機関一次情報取得日: 2026-10-31

関連インシデント

この脆弱性に関連付けられた登録インシデントはありません。

← 脆弱性一覧へ