GitLabの深刻度10.0脆弱性、Rapid7が製品デモに変える 決算3週間前

守りをすり抜ける正規表現

GitLab▼−5.70% — GitLab, down 5.70 percent todayは10月12日、脆弱性「CVE-2026-97229」の修正を緊急パッチとして公開した↗。通常の月次更新とは別枠のセキュリティーリリース(アウトオブバンドパッチ)で、整数オーバーフローを突く。同社が付けた深刻度はCVSS(共通脆弱性評価システム)で最高値の「10.0」¹²。脆弱性は、ソフトウェアのビルドやデプロイを担うパイプラインであるCI/CD(継続的インテグレーション/継続的デリバリー)の設定に記述する正規表現のコンパイラーにあり、セルフマネージド版のコミュニティエディションとエンタープライズエディションの双方に影響する。この日修正された脆弱性は計24件で、本件はその1つだった。報告は、脆弱性報奨金制度のプラットフォーム「HackerOne」を通じ、joaxcar名で活動する研究者から寄せられた²³。

その翌日、Rapid7▼−3.59% — Rapid7, down 3.59 percent todayは、ASLR(アドレス空間配置のランダム化)を有効にした状態で公式の未修正コミュニティエディションイメージ(19.4.1)上で攻撃の全過程を再現した↗と発表した。同じ入力を修正済みの19.4.2に試しても、攻撃は成立しなかった¹。侵入経路は2段構えだ。まず、パイプライン定義ファイル「.gitlab-ci.yml」に仕込んだ細工済みの正規表現がGitLabの検証を通り抜ける。次に、UTF-8文字を含むリポジトリーパスに対して再コンパイルされる際、Rubyの正規表現エンジン「Onigmo」で整数オーバーフローが起き、攻撃者がプロセスの制御権を握る。

パッチ公開から24時間で動く攻撃コード

こうしてOSコマンドは、GitLabアプリケーションを動かすサービスアカウント「git」ユーザーの権限で実行される¹。公開されているPoC(概念実証コード)↗は、248文字の入力を2ギガバイト超のエンジンコードに膨らませ、system()関数に到達する⁴。GitLabの評価では、本脆弱性は完全に未認証で攻撃できる。ただしRapid7の再現では、まずこの設定ファイルを書き込む手立てがまだ必要だった。誰でも登録して公開プロジェクトを開けるインスタンスでは、この壁は消える¹。

セルフマネージド版サーバーにはソースコードとクラウド認証情報

深刻度10.0の脆弱性が攻撃者を素早く引き寄せる理由は、こうしたサーバーの背後に何があるかだ。iCounterのグローバルリサーチコーディネーター、ロマン・Y・サンニコフ氏の言葉を借りれば、そこにあるのは組織のソースコード、ビルドパイプライン、そしてパイプラインがクラウドアカウントへのアクセスに使う認証情報だ⁵。GitLabの顧客には米フォーチュン100の過半数が名を連ねる³。

GitLabで深刻度最高ランクの脆弱性が出たのは、2か月でこれが2度目だ。9月のパス・トラバーサル型の脆弱性CVE-2026-85706は、GitLabが修正した翌日に米サイバーセキュリティ・インフラセキュリティ庁(CISA)が管理する悪用済み脆弱性カタログ(KEV)に登録され、watchTowrの研究者はすでに脆弱性を探るプローブを観測していた³⁶。「チームは脆弱性の開示から悪用までの猶予が週単位ではなく日単位だと想定すべきだ」とサンニコフ氏は指摘する⁵。10月13日時点で、今回の脆弱性が悪用されたとの確認は取れていない¹。

即日検出が新部門の初仕事

ビジネス面での焦点は、このタイミングだ。脆弱性研究をそのまま有償製品につなげる狙いで10月2日に発足した↗Rapid7 Intelligence(部門名)は、同じ10月13日のコンテンツ更新で、この脆弱性を検出する認証付きのチェックを「Exposure Command」「Vulnerability Management」「Nexpose」の3製品に投入した¹⁷。有料顧客にとって、これは発足時の売り文句が動くコードになった形だ。脆弱性の公開から1日以内に、研究が製品に届く。

ナスダック上場のRapid7本体には、この実証が必要だ。4~6月期の売上高は前年同期比1.5%減↗と2四半期連続の減収となり、JPモルガンは9月に投資判断を「アンダーウェイト」へ引き下げ、目標株価を12ドルとしている⁸⁹。第3四半期決算の発表は11月4日↗⁸。

21%成長のGitLab、減収が続くRapid7

GitLab(ナスダック上場、ティッカーGTLB)は成長していると同時に、脆弱性にもさらされている。7月に終了した四半期で売上高は前年同期比21.3%増の2億8630万ドル↗と伸びたが、純損失は3680万ドルだった¹⁰。クラウド版「GitLab.com」は既にパッチが当たっており、単一テナント型のホステッドサービス「Dedicated」を利用する顧客は何もする必要がない。そのため、直接の打撃はベンダーの決算ではなく、顧客側のサーバーに及ぶ¹。

今すぐアップデート、注目は2つの日付

パッチの対象バージョンは特定されている。「19.2.8」「19.3.5」「19.4.2」の3つで、次回の月次更新を待たず、今すぐ適用する¹。すぐにアップデートできない場合は、公開プロジェクトへの匿名アクセスを制限し、信頼できないユーザーにはプロジェクトを作成させないようGitLabは勧めている¹。一方、開示後もパッチ未適用のままだったインスタンスについては、サンニコフ氏はCI/CDのシークレットとトークンをローテーション(入れ替え)し、開示以降のランナーとパイプラインの活動記録を確認すべきだと助言する⁵。

この騒動の行方を占う指標は2つある。1つは、CVE-2026-97229が9月の脆弱性と同じく、CISAの悪用済み脆弱性カタログに掲載されるかどうか³⁶。もう1つは11月4日で、Rapid7が第3四半期決算を発表し、Rapid7 Intelligenceの成果が有償製品の利用状況に現れているかを問われる日だ⁸。それまでの間、リスクを抱え続けるのは、忘れ去られたセルフマネージド版のインスタンスを運用する誰かなのである。