GitLabのAI GatewayにCVSS 9.9の重大な脆弱性、セルフホスト環境で任意コマンド実行の恐れ

要点

• GitLabは、AI機能の連携基盤「GitLab AI Gateway」に任意のコマンド実行が可能となる重大な脆弱性を修正した。

• 共通脆弱性評価システム（CVSS）のスコアは10点満点中9.9の「緊急」と評価され、CVE-2026-90970として管理されている。

• 影響を受けるのはAI Gatewayを自社環境で運用している組織のみで、GitLabが管理するクラウド環境では修正が完了している。

• 修正版としてバージョン19.2.4、19.3.2、19.4.1が公開されており、GitLabは対象者へ即時更新を強く推奨している。

• GitLabは2026年10月2日、AIモデルとGitLab環境を接続するサービス「GitLab AI Gateway」に関するセキュリティアドバイザリを公開し、深刻な脆弱性を修正したことを発表した。この脆弱性を悪用された場合、一定のアクセス権を持つユーザーによってゲートウェイ上で任意のコマンドを実行される恐れがある。

• 脆弱性の深刻度を示すCVSSスコアは9.9の「緊急（Critical）」と判定されている。GitLabが管理するクラウド版の「GitLab.com」や「GitLab Dedicated」、およびGitLabホスト型のゲートウェイを利用しているセルフマネージド環境ではすでに対策が完了しており、ユーザー側での作業は不要だという。一方で、データ保護などを目的に独自でゲートウェイをホストしている組織に対しては、直ちにアップデートを適用するよう強い注意喚起が出されている。

プロンプトテンプレートのサンドボックスを脱出する仕組み

今回報告された脆弱性「CVE-2026-90970」は、GitLabのAI機能基盤である「Duo Agent Platform」内のカスタムフロー機能に起因する。カスタムフローとは、ユーザーが複数ステップからなる作業を自動化するためにプラットフォーム上で構築するAI支援ワークフローを指す。

GitLabの説明によると、Duo Agent Platformへのアクセス権を持つログイン済みユーザーが、特別に細工したフロー構成を送信することで、プロンプトテンプレートのサンドボックス（隔離環境）を脱出できる状態になっていたという。このサンドボックス脱出が発生すると、結果としてAI Gateway上で任意のOSコマンドが実行可能になる。

攻撃が成立するための詳細な前提条件や、悪用可能なユーザー権限の範囲などはアドバイザリ上で明かされていない。ただし、セルフホスト型のAI GatewayはJSON Web Token（JWT：安全に情報を送受信するための電子署名付きトークン）の署名鍵といった機密性の高い認証情報を保持しているほか、GitLab本体や外部のAIモデルプロバイダとも接続されている。そのため、ゲートウェイ上でコマンド実行を許した場合の潜在的な被害は大きいとみられる。

影響範囲と修正バージョンの適用方法

AI GatewayはGitLab本体とは別に、独立したDockerイメージまたはHelmチャート（Kubernetes向けのパッケージ管理設定）として提供・更新されるコンポーネントだ。今回修正対象となったバージョンと、対応するパッチ適用済みバージョンは以下の通りである。

• 18.1.6以降かつ19.2.4未満: バージョン19.2.4で修正
• 19.3系列（19.3.2未満）: バージョン19.3.2で修正
• 19.4系列（19.4.1未満）: バージョン19.4.1で修正

Docker環境で運用している管理者は、稼働中のコンテナを停止・削除した上で、最新のイメージタグ（例：self-hosted-v19.4.1-ee）を取得して再起動する必要がある。Helmチャートを利用している場合は、設定ファイル内のイメージタグを新しいバージョンへ書き換えることで更新できる。

旧バージョンへの対応と回避策の現状

注意点として、修正パッチが提供されているのは19.2.4以降の3つのラインのみであり、18.1.6から19.1系列までのバージョンに対する直接の修正版は一覧に記載されていない。

GitLabのインストールガイドでは、GitLab本体のマイナーバージョンに対応するゲートウェイイメージを使用することが推奨されている。しかし、最新パッチが適用された19.2.4のゲートウェイがGitLab 19.1以前の本体環境で正常に稼働するかどうかや、古い系列向けに個別のパッチ提供が予定されているかについては、今回のアドバイザリでは言及されていない。なお、10月2日時点でのGitLabのメンテナンス方針では、セキュリティ修正の対象リリースは19.4、19.3、19.2の3系列と定められており、今回のゲートウェイ修正の範囲もこれに合致している。

また、現時点でアップデートを即座に行えない環境向けの回避策（ワークアラウンド）は案内されていない。さらに、アップデート適用前に過去の不正アクセスや攻撃の有無を確認するための調査手順も示されていない状況だ。

悪用の状況と過去の類似脆弱性

GitLabのアドバイザリ自体には、この脆弱性が実際の攻撃で悪用されたかどうかに関する記述はない。米国土安全保障省サイバーセキュリティ・インフラセキュリティ庁（CISA）が10月2日にCVEレコードに追加した評価情報によると、悪用の状況は「なし（none）」と分類されている。この評価は、一般公開された実証コード（PoC）や実際の悪用活動が確認されていないことを意味する。

今回の脆弱性を発見・報告したのは、バグ報奨金プラットフォームHackerOneのユーザー「invisiblemeerkat」氏であることが公表されている。

なお、GitLabは2026年2月にも、同じくAI GatewayにおいてCVSSスコア9.9と評価された重大な脆弱性「CVE-2026-1868」を修正している。この2月の脆弱性も、細工されたフロー定義を通じてサービス拒否（DoS）やコード実行に至る恐れがあるものだった。両脆弱性はいずれも「CWE-1336」と呼ばれるテンプレートエンジンの不備に起因する同系統の欠陥だが、今回公開されたアドバイザリでは2月の件についての言及はなされていない。