GitLabによると、経済誌『Fortune』が選出する全米売上高上位100社「Fortune 100」の半数以上が同社のDevSecOps（開発、セキュリティ、運用）ツールを利用している。セルフマネージド版のGitLabサーバは、独自のソースコードやCI/CD（継続的インテグレーション／継続的デリバリー）のシークレット情報、アクセストークン、本番環境への接続情報といった機密データを保持していることが一般的だ。そのため、今回の脆弱性が企業に及ぼす影響は甚大になる恐れがある。

　脅威検出技術を手掛けるSOC Primeの分析によると、この脆弱性を悪用された場合、認証情報の窃取やリポジトリの改ざん、サプライチェーン攻撃、システムへの不正アクセスの永続化、ネットワーク内での横方向への侵害拡大（ラテラルムーブメント）を招く危険性がある。サプライチェーン攻撃に発展すれば、顧客や取引先にも被害が及ぶ可能性があるという。

　GitLab社は、セルフマネージド版のGitLabサーバを利用している企業に対して、可能な限り速やかに最新バージョンに更新することを推奨する。併せて同社は、攻撃の痕跡を見つけ出すための脅威検出ツールを2つ公開した。なお、マルチテナント型クラウドサービス「GitLab.com」やマネージドクラウド「GitLab Dedicated」のインフラには既に修正パッチが適用済みだ。

不審な活動に警戒を

　セキュリティ専門機関は企業に対して、セルフマネージド版GitLabサーバの稼働台数や所在を棚卸ししたうえで、2026年10月第4週までにパッチを適用するよう促した。本稿執筆時点の2026年10月22日の正午（米国東部夏時間）では、この脆弱性を悪用した実際のサイバー攻撃は確認されていない。2026年10月28日（日本標準時）時点では、プロセスをクラッシュさせる実証コード（PoC）は確認されているものの、実環境における組織的な侵害事例は報告されておらず、米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）の悪用脆弱性カタログ（KEV）にも追加されていない。

　SOC Primeの研究者は、「外部ネットワークからアクセス可能で、認証も不要なCVSSスコア10.0の脆弱性は、攻撃者にとって格好の標的だ。セルフマネージド版のGitLabサーバはインターネット上に公開されていることが少なくないため、その危険性は極めて高い」と警鐘を鳴らす。

　企業のセキュリティ担当者に対して、SOC Primeは不審な挙動への警戒を緩めないよう呼び掛ける。具体的には、GitLabアプリケーションプロセスの予期しないクラッシュ、レンダリングエラーの多発、身に覚えのないシェルの実行などに注意を払う必要がある。バージョンを更新した後は、GitLabのアプリケーションログやOSの稼働データを精査し、システムが侵害された痕跡がないかどうかを確認すべきだという。

　GitLabは、ソフトウェア開発の工程において中核を担う重要なインフラだ。「そのため、ソースコードや成果物、コンテナイメージ、IaC（Infrastructure as Code）のテンプレート、デプロイの作業フローなどが攻撃者によって改ざんされていないかどうかも、調査担当者は見極めなければならない」とSOC Primeの研究者は警告する。

　「一度でもGitLabサーバが侵害されれば、たとえサーバ自体の脆弱性を修正したとしても、開発プロジェクトの後工程にサプライチェーンリスクをもたらす危険性が残る」

　マンセド氏によると、2026年10月12日（協定世界時）に公開された、正規表現に関する別の脆弱性「CVE-2026-97229」のパッチを適用した企業でも、今回のパッチをあらためて適用する必要がある。

　なお、GitLab社が2026年10月21日に公開したセキュリティリリースには、最高深刻度以外にも、深刻度が「高」の脆弱性2件、「中」の脆弱性5件、「低」の脆弱性4件を解消する修正が含まれる。