GitLabに未認証で任意ファイルが閲覧可能な脆弱性、CVSSスコア10.0の「緊急」として修正版を公開
要点
- ソースコード管理プラットフォーム「GitLab」のCE（コミュニティ版）およびEE（エンタープライズ版）において、未認証の攻撃者がサーバー内の任意ファイルを読み取れる深刻な脆弱性（CVE-2026-85706）が判明した。
- 本脆弱性を報告したGitLab社は、共通脆弱性評価システム「CVSS v3.1」の基本スコアにおいて最高値となる「10.0（Critical / 緊急）」を算出している。
- 影響を受けるのはGitLabのバージョン18.7〜19.1.7、19.2〜19.2.5、19.3〜19.3.1であり、GitLab社は修正パッチを適用した対策版への移行を案内している。
- 米サイバーセキュリティ・インフラセキュリティ庁（CISA）は本脆弱性を悪用確認済みカタログ（KEV）へ登録し、関係組織に対して2026年9月14日までの迅速な対処を求めている。
GitLab社が提供するソースコード管理・DevOpsプラットフォーム「GitLab」のCommunity Edition（CE）およびEnterprise Edition（EE）において、認証を受けていない第三者がサーバー上の任意のファイルを読み取ることが可能な脆弱性が存在することが明らかになった。
米国立標準技術研究所（NIST）が運用する脆弱性情報データベース「NVD（National Vulnerability Database）」が2026年9月12日に公開した情報によると、本件には「CVE-2026-85706」の識別子が割り当てられている。CVE採番機関（CNA）であるGitLab社は、本脆弱性の深刻度についてCVSS v3.1の最高評価であるスコア「10.0（緊急）」を提示している。さらに、米サイバーセキュリティ・インフラセキュリティ庁（CISA）もすでに実際の悪用事例が確認された脆弱性としてリストへ追加しており、迅速な修正適用が呼びかけられている。
脆弱性の概要と発生原因
公開された情報によると、本脆弱性はリポジトリのコミット情報を処理する「Commits API」に起因して発生する。
具体的には、パスの制限処理が適切に行われない不備（Improper path confinement）と、APIに対する認証の強制適用が欠落していたこと（missing authentication enforcement）が重なった結果として生じたものだという。脆弱性の分類としては、指定された制限ディレクトリを越えてファイルへアクセスを試みる「パストラバーサル（CWE-22）」に該当する。
この問題により、特定の条件下において、認証されていない外部のユーザーがGitLabサーバー内部に保管されている任意のファイルデータを読み取ることが可能になっていたと説明されている。
CVSSスコア10.0の深刻度評価
GitLab社が算定した共通脆弱性評価システム（CVSS v3.1）の基本値は、最高ランクの「10.0（CRITICAL）」となっている。
提示されているCVSSベクトル（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N）の内訳によると、攻撃はネットワーク経由（AV:N）で実行可能であり、攻撃条件の複雑さは「低（AC:L）」とされている。また、攻撃の実行にあたって特別な権限（PR:N）や利用者の操作（UI:N）を必要とせず、他のコンポーネントへ影響が及ぶスコープ変更（S:C）を伴う。影響度としては、機密性（C:H）および完全性（I:H）に対して高い影響を与える一方で、可用性（A:N）への直接的な影響はないと評価されている。
なお、NVDによる独自の詳細評価（Base Score）は「N/A」となっており、現時点ではGitLab社が提供したメトリクス情報が掲載されている状態となっている。
影響を受ける製品とバージョン
本脆弱性の影響を受ける対象は、GitLabのオープンソース版である「Community Edition（CE）」および商用版である「Enterprise Edition（EE）」の双方に及ぶ。影響を受ける具体的なバージョン範囲は以下のとおりである。
- GitLab 18.7 以上 19.1.8 未満（セマンティックバージョニング）
- GitLab 19.2 以上 19.2.6 未満
- GitLab 19.3 以上 19.3.2 未満
GitLab社はすでに本脆弱性の修正を完了しており、各系列においてそれぞれバージョン19.1.8、19.2.6、19.3.2以降へのアップデートによって問題が解消される。
CISAによる悪用確認済みカタログへの追加
米CISAは、2026年9月11日付で本脆弱性を「悪用が確認された脆弱性カタログ（Known Exploited Vulnerabilities Catalog: KEV）」に追加した。
CISAが提示した対策期日（Due Date）は2026年9月14日に設定されている。連邦政府機関や関係ステークホルダーに対し、ベンダーが提供する指示に従った緩和策を適用することや、CISAの拘束力のある運用指令「BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）」およびフォレンジックトリアージ要件に準拠した対応を行うことを求めている。また、クラウドサービス向けの該当ガイダンスに従うことや、緩和策の適用が不可能な場合には製品の利用を停止することなどが規定されている。
本脆弱性は、バグ報奨金プラットフォーム「HackerOne」を通じて報告されたレポート（レポートID: 3909881）およびGitLab社内の作業項目（Work Item: 627748）を通じて管理・対応が行われた。