GitLabのCVSS 10脆弱性「CVE-2026-85706」が悪用確認　セルフマネージド環境は直ちに更新を

まず確認すべきこと：影響を受けるなら緊急アップデート

GitLabの脆弱性 CVE-2026-85706 は、セルフマネージドのGitLab Community Edition（CE）およびEnterprise Edition（EE）に影響する、最大深刻度のパストラバーサル脆弱性です。CVSS 3.1スコアは 10.0。特定の条件下で、認証されていない攻撃者がGitLabサーバー上の任意ファイルを読み取れる可能性があります。すでにCISAのKEV（Known Exploited Vulnerabilities、既知の悪用済み脆弱性）カタログに登録され、研究者もインターネット公開環境への探索を観測しています。32122

影響を受けるセルフマネージド環境は、以下の修正版以降へ直ちに更新してください。

• 19.1.8 以降
• 19.2.6 以降
• 19.3.2 以降

影響範囲は、GitLab CE/EEの 18.7以上19.1.8未満、19.2系の19.2.6未満、19.3系の19.3.2未満です。修正版は2026年9月10日に公開されました。37

なぜ危険なのか：認証なしの任意ファイル読み取り

問題はGitLabの Repository Commits API にあります。根本原因は、利用者が指定するパスを適切に制限できていないことと、認証チェックの欠落です。この組み合わせにより、認証なしのリクエストでも、GitLabサービスがアクセスできる任意のファイルを読み出されるおそれがあります。3

このCVE自体について、提供された報道はリモートコード実行（RCE）が直接可能になるとは示していません。ただし、任意ファイルの読み取りは次の侵害につながる重要な足掛かりになり得ます。設定に応じて、アプリケーション設定、トークン、SSH鍵、データベース認証情報など、GitLabプロセスが読み取れる秘密情報が露出する可能性があるためです。925

「悪用確認」が意味する緊急性

WatchTowrは、ハニーポットネットワーク上で9月11日にこの脆弱性を狙う実環境のプローブを確認したと報告しています。CISAのKEV登録も重要なシグナルです。KEVは、実際に悪用された証拠がある脆弱性を対象とするカタログです。222

CISAは2026年9月11日、CVE-2026-85706をKEVへ追加し、対象となる米国連邦民間機関に9月14日までの対処を求めました。この期限が民間企業にそのまま適用されるわけではありませんが、外部から到達できるセルフマネージドGitLabにとって、対応を急ぐべき事案であることを示しています。3

現時点の公表情報は、探索・悪用活動を裏付けています。一方で、単一の攻撃主体、確定的な被害組織数、すべての侵害に共通する後続の攻撃手順までは明らかにしていません。公開サーバーで侵害報告が見当たらないことを、「アクセスされていない」証拠と見なすべきではありません。

パッチ適用後も、秘密情報漏えいの可能性を評価する

アップデートは脆弱な動作を止めますが、すでに読み出されたデータを取り消すことはできません。影響を受けたインターネット公開サーバーでは、大規模なクリーンアップに入る前に証拠を保全し、GitLabサービスアカウントがアクセスできた範囲を評価してください。

優先的に確認・ローテーションを検討する対象は次の通りです。

• GitLabのアプリケーション秘密情報、設定ファイル内の秘密情報
• 設定に保存されたデータベース、Redis、オブジェクトストレージ、コンテナレジストリ、SMTP、ディレクトリーサービス、IDプロバイダーの認証情報
• CI/CD変数、デプロイトークン、アクセストークン、Runnerトークン、デプロイ鍵、ジョブや連携機能向けにマウントされた認証情報
• クラウド鍵、パッケージレジストリの認証情報、署名鍵、ホストまたはGitLabプロセスからアクセス可能なSSH/TLS秘密鍵

ローテーションは慎重に実施してください。アプリケーション秘密情報や暗号化関連の設定を変更すると、セッションの無効化、暗号化済み設定値や外部連携の障害につながることがあります。まず関連ログと設定の証跡を保持し、復旧手順を確認したうえで、高リスクの認証情報から管理された順序で更新する必要があります。

検知の起点：ログで探すべきリクエスト

初動調査の有用な指標は、Repository Commits APIへのHTTP POST リクエストです。

/api/v4/projects/<id>/repository/commits/

特に、file.path パラメーターを含むリクエストを調べることが推奨されています。リバースプロキシ、ロードバランサー、WAF、GitLab Railsのアクセスログについて、認証されていない不自然なリクエスト、トラバーサルを思わせるエンコード済み入力、想定外のプロジェクトID、繰り返される失敗、列挙的なアクセス、異常なレスポンスサイズを確認してください。212426

疑わしい露出期間の後には、次のような関連活動も調査対象です。

• 新規作成・使用されたトークン
• Runnerの登録
• CI/CD変数やパイプライン定義の変更
• 不審なプロジェクトインポート
• GraphQLの利用状況
• 想定外の外部向け通信

リリース周辺のガイダンスでは、コミット、GraphQLサブスクリプション、プロジェクトインポート、CI/CDパイプラインの見直しも挙げられています。23

なお、ログ検索で該当が見つからなくても安全とは断定できません。ログ保存期間が短い場合や、アプリケーションログに必要なリクエスト詳細が残らない場合があり、プロキシやWAFのログだけが唯一の記録になっていることもあります。

更新を直ちに実施できない場合の暫定策

根本対策はアップグレードです。緊急更新がすぐにできない場合は、GitLabのWeb/APIサービスをVPNまたは許可済みネットワークからのアクセスに限定し、露出を下げてください。リバースプロキシやWAFで影響を受けるRepository Commits APIの経路を厳格に制限することも短期的なリスク低減にはなります。

ただし、この制限は正規の自動化処理を壊す可能性があり、パッチの代替にはなりません。

実務上の対応順序は以下です。

1. 特定と優先順位付け：外部公開されているセルフマネージド環境を洗い出す。
2. アップグレード：19.1.8、19.2.6、19.3.2、またはそれ以降へ更新する。
3. 稼働バージョンの確認：変更後に実際の稼働バージョンを確認する。
4. ログの保全・調査：悪用の兆候を調べる。
5. 秘密情報のローテーション：サーバーがアクセスできた範囲と事業影響に基づき実施する。

同時に修正されたEE向け脆弱性

同じセキュリティリリースでは、Enterprise Edition向けの別の問題も報じられています。

• CVE-2026-87719：CVSS 9.9。認証済み攻撃者による安全でないデシリアライゼーションの問題で、一部報道ではAdvanced Searchの設定・認証情報の露出に関連するとされています。6
• CVE-2026-88765：CVSS 8.5。細工されたGitプロジェクトエクスポートのインポートに関係する、認証済み攻撃者によるリモートコード実行のリスクとして報じられています。625

これらはCVE-2026-85706とは前提条件・影響が異なります。外部公開されたセルフマネージドGitLabでは、まず認証不要で悪用が確認されている任意ファイル読み取りの封じ込めとインシデント対応を最優先にしてください。