--- title: "GitLabの深刻度10.0脆弱性、Rapid7が製品デモに変える 決算3週間前" description: "パッチ未適用のセルフマネージド版GitLabサーバーなら、わずか248文字の正規表現でコマンドを実行できる。Rapid7はGitLabが10月12日にパッチを公開した翌日に攻撃を再現し、同日中に有料顧客向けの検知機能を提供した。10月2日に発足した「Rapid7 Intelligence」の初の公開実践とみられる。" publisher: "The Inference" section: "Safety" published: 2026-10-16T01:38:40.867Z modified: 2026-10-16T01:38:40.867Z canonical: https://theinference.org/article/rapid7-turns-gitlab-s-10-0-flaw-into-a-live-product-demo-three-weeks-before-earnings/ja language: ja keywords: "Cybersecurity, Vulnerabilities, GitLab, Rapid7, Earnings" --- # GitLabの深刻度10.0脆弱性、Rapid7が製品デモに変える 決算3週間前 > パッチ未適用のセルフマネージド版GitLabサーバーなら、わずか248文字の正規表現でコマンドを実行できる。Rapid7はGitLabが10月12日にパッチを公開した翌日に攻撃を再現し、同日中に有料顧客向けの検知機能を提供した。10月2日に発足した「Rapid7 Intelligence」の初の公開実践とみられる。 ## 守りをすり抜ける正規表現 [GitLab](https://theinference.org/markets/companies/gitlab)は10月12日、脆弱性「CVE-2026-97229」の修正を[緊急パッチとして公開した](https://www.bleepingcomputer.com/news/security/gitlab-warns-of-max-severity-rce-flaw-in-regex-compiler-engine/)。通常の月次更新とは別枠のセキュリティーリリース(アウトオブバンドパッチ)で、整数オーバーフローを突く。同社が付けた深刻度はCVSS(共通脆弱性評価システム)で最高値の「10.0」[1][2]。脆弱性は、ソフトウェアのビルドやデプロイを担うパイプラインであるCI/CD(継続的インテグレーション/継続的デリバリー)の設定に記述する正規表現のコンパイラーにあり、セルフマネージド版のコミュニティエディションとエンタープライズエディションの双方に影響する。この日修正された脆弱性は計24件で、本件はその1つだった。報告は、脆弱性報奨金制度のプラットフォーム「HackerOne」を通じ、joaxcar名で活動する研究者から寄せられた[2][3]。 その翌日、[Rapid7](https://theinference.org/markets/companies/rapid7)は、ASLR(アドレス空間配置のランダム化)を有効にした状態で[公式の未修正コミュニティエディションイメージ(19.4.1)上で攻撃の全過程を再現した](https://www.rapid7.com/blog/post/etr-cve-2026-97229-critical-unauthenticated-remote-code-execution-in-gitlab/)と発表した。同じ入力を修正済みの19.4.2に試しても、攻撃は成立しなかった[1]。侵入経路は2段構えだ。まず、パイプライン定義ファイル「.gitlab-ci.yml」に仕込んだ細工済みの正規表現がGitLabの検証を通り抜ける。次に、UTF-8文字を含むリポジトリーパスに対して再コンパイルされる際、Rubyの正規表現エンジン「Onigmo」で整数オーバーフローが起き、攻撃者がプロセスの制御権を握る。 ## パッチ公開から24時間で動く攻撃コード こうしてOSコマンドは、GitLabアプリケーションを動かすサービスアカウント「git」ユーザーの権限で実行される[1]。[公開されているPoC(概念実証コード)](https://x.com/_CryptoCat/status/2110052018593362428)は、248文字の入力を2ギガバイト超のエンジンコードに膨らませ、system()関数に到達する[4]。GitLabの評価では、本脆弱性は完全に未認証で攻撃できる。ただしRapid7の再現では、まずこの設定ファイルを書き込む手立てがまだ必要だった。誰でも登録して公開プロジェクトを開けるインスタンスでは、この壁は消える[1]。 ## セルフマネージド版サーバーにはソースコードとクラウド認証情報 深刻度10.0の脆弱性が攻撃者を素早く引き寄せる理由は、こうしたサーバーの背後に何があるかだ。iCounterのグローバルリサーチコーディネーター、ロマン・Y・サンニコフ氏の言葉を借りれば、そこにあるのは組織のソースコード、ビルドパイプライン、そして[パイプラインがクラウドアカウントへのアクセスに使う認証情報](https://theinference.org/article/two-dozen-firms-breached-through-gitlab-stored-secrets-and-gitlab-shipped-the-cure-a-day-later)だ[5]。GitLabの顧客には米フォーチュン100の過半数が名を連ねる[3]。 GitLabで深刻度最高ランクの脆弱性が出たのは、2か月でこれが2度目だ。9月のパス・トラバーサル型の脆弱性CVE-2026-85706は、GitLabが修正した翌日に米サイバーセキュリティ・インフラセキュリティ庁(CISA)が管理する悪用済み脆弱性カタログ(KEV)に登録され、watchTowrの研究者はすでに脆弱性を探るプローブを観測していた[3][6]。「チームは脆弱性の開示から悪用までの猶予が週単位ではなく日単位だと想定すべきだ」とサンニコフ氏は指摘する[5]。10月13日時点で、今回の脆弱性が悪用されたとの確認は取れていない[1]。 ## 即日検出が新部門の初仕事 ビジネス面での焦点は、このタイミングだ。脆弱性研究をそのまま有償製品につなげる狙いで[10月2日に発足した](https://finance.yahoo.com/technology/ai/articles/rapid7-launches-rapid7-intelligence-harness-130000040.html)Rapid7 Intelligence(部門名)は、同じ10月13日のコンテンツ更新で、この脆弱性を検出する認証付きのチェックを「Exposure Command」「Vulnerability Management」「Nexpose」の3製品に投入した[1][7]。有料顧客にとって、これは発足時の売り文句が動くコードになった形だ。脆弱性の公開から1日以内に、研究が製品に届く。 ナスダック上場のRapid7本体には、この実証が必要だ。[4~6月期の売上高は前年同期比1.5%減](https://www.sec.gov/cgi-bin/browse-edgar?action=getcompany&CIK=0001560327)と2四半期連続の減収となり、JPモルガンは9月に投資判断を「アンダーウェイト」へ引き下げ、目標株価を12ドルとしている[8][9]。[第3四半期決算の発表は11月4日](https://www.marketscreener.com/news/rapid7-to-report-third-quarter-2026-financial-results-on-november-4-ce785dd2d181f526)[8]。 *Chart: **Rapid7、売上成長率は13%増から2四半期連続の減収へ** Rapid7の売上成長率(前年同期比)を12四半期にわたって示した折れ線グラフ。23年Q3のプラス13.1%から26年Q2のマイナス1.5%へと推移し、2026年にゼロを割り込んだ。* *暦四半期別の前年同期比売上成長率。Rapid7が米証券取引委員会(SEC)に提出した資料に基づく。26年Q2は2026年6月に終了した四半期。 [9]* ## 21%成長のGitLab、減収が続くRapid7 GitLab(ナスダック上場、ティッカーGTLB)は成長していると同時に、脆弱性にもさらされている。[7月に終了した四半期で売上高は前年同期比21.3%増の2億8630万ドル](https://www.sec.gov/cgi-bin/browse-edgar?action=getcompany&CIK=0001653482)と伸びたが、純損失は3680万ドルだった[10]。クラウド版「GitLab.com」は既にパッチが当たっており、単一テナント型のホステッドサービス「Dedicated」を利用する顧客は何もする必要がない。そのため、直接の打撃はベンダーの決算ではなく、顧客側のサーバーに及ぶ[1]。 *Chart: **GitLab、売上高は12四半期すべてで前年同期比20%超の伸び** GitLabの四半期別売上高を示す棒グラフ。2023年10月に終了した四半期の1億5000万ドルから、2026年7月に終了した四半期の2億8600万ドルへと増加し、前年同期比の伸び率は全期間で20%超。* *四半期別売上高(単位は100万米ドル)を暦四半期で表示。GitLabの会計四半期の決算期はRapid7より1か月遅く、26年Q2は2026年7月31日に終了。本文で触れる2億8630万ドル、前年同期比21.3%増はこの四半期の実績。GitLabのSEC提出資料に基づく。 [11]* ## 今すぐアップデート、注目は2つの日付 パッチの対象バージョンは特定されている。「19.2.8」「19.3.5」「19.4.2」の3つで、次回の月次更新を待たず、今すぐ適用する[1]。すぐにアップデートできない場合は、公開プロジェクトへの匿名アクセスを制限し、信頼できないユーザーにはプロジェクトを作成させないようGitLabは勧めている[1]。一方、開示後もパッチ未適用のままだったインスタンスについては、サンニコフ氏はCI/CDのシークレットとトークンをローテーション(入れ替え)し、開示以降のランナーとパイプラインの活動記録を確認すべきだと助言する[5]。 この騒動の行方を占う指標は2つある。1つは、CVE-2026-97229が9月の脆弱性と同じく、CISAの悪用済み脆弱性カタログに掲載されるかどうか[3][6]。もう1つは11月4日で、Rapid7が第3四半期決算を発表し、Rapid7 Intelligenceの成果が有償製品の利用状況に現れているかを問われる日だ[8]。それまでの間、リスクを抱え続けるのは、忘れ去られたセルフマネージド版のインスタンスを運用する誰かなのである。 ## Takeaway GitLabの正規表現の脆弱性(深刻度10.0)はパッチ済みだが、未適用のセルフマネージド版サーバーにはリスクが残る。Rapid7の同日中の検知提供は、同社が10月2日に発足させた部門の初の実働証明だ。 ## Sources 1. [Rapid7, CVE-2026-97229: Critical Unauthenticated Remote Code Execution in GitLab, 13 October 2026](https://www.rapid7.com/blog/post/etr-cve-2026-97229-critical-unauthenticated-remote-code-execution-in-gitlab/) 2. [eSecurity Planet, GitLab Warns of CVSS 10.0 Flaw That Could Allow Server Takeover, 13 October 2026](https://www.esecurityplanet.com/news/news-gitlab-critical-server-takeover-flaw/) 3. [BleepingComputer, GitLab warns of max severity code execution vulnerability, 12 October 2026](https://www.bleepingcomputer.com/news/security/gitlab-warns-of-max-severity-rce-flaw-in-regex-compiler-engine/) 4. [@_CryptoCat on X, Rapid7 PoC for CVE-2026-97229, 13 October 2026](https://x.com/_CryptoCat/status/2110052018593362428) 5. [SC Media, GitLab patches 10.0 flaw in its CE and EE products, 14 October 2026](https://www.scworld.com/news/gitlab-patches-10-0-flaw-in-its-ce-and-ee-products) 6. [TechRadar via MSN, CISA warns hackers are exploiting this max severity GitLab flaw, 14 September 2026](https://www.msn.com/en-us/technology/cybersecurity/cisa-warns-hackers-are-exploiting-this-max-severity-gitlab-flaw/ar-AA2ccpv4) 7. [Rapid7 press release via Yahoo Finance, Rapid7 Launches Rapid7 Intelligence to Harness Threat Data Against Attackers, 2 October 2026](https://finance.yahoo.com/technology/ai/articles/rapid7-launches-rapid7-intelligence-harness-130000040.html) 8. [GlobeNewswire via MarketScreener, Rapid7 to Report Third Quarter 2026 Financial Results on November 4, 14 October 2026 (page also carries the 15 September JPMorgan underweight call, $12 target)](https://www.marketscreener.com/news/rapid7-to-report-third-quarter-2026-financial-results-on-november-4-ce785dd2d181f526) 9. [Rapid7, quarterly figures from its SEC filings, retrieved 15 October 2026](https://www.sec.gov/cgi-bin/browse-edgar?action=getcompany&CIK=0001560327) 10. [GitLab, quarterly figures from its SEC filings, retrieved 15 October 2026](https://www.sec.gov/cgi-bin/browse-edgar?action=getcompany&CIK=0001653482) 11. [GitLab, quarterly figures from its SEC filings, retrieved 16 October 2026](https://www.sec.gov/cgi-bin/browse-edgar?action=getcompany&CIK=0001653482) --- GitLabの深刻度10.0脆弱性、Rapid7が製品デモに変える 決算3週間前 — The Inference. Canonical: https://theinference.org/article/rapid7-turns-gitlab-s-10-0-flaw-into-a-live-product-demo-three-weeks-before-earnings/ja