CVE-2026-97229
GitLab Community Edition and Enterprise Edition Integer Overflow or Wraparound Vulnerability
P0 KEV掲載 実悪用確認 CVSS最高 10.0
公式ソースで確認された事実（機械抽出）
| 公式説明（原文・英語） | GitLab has remediated an issue in GitLab CE/EE affecting all versions from 19.2 before 19.2.8, 19.3 before 19.3.5, and 19.4 before 19.4.2 that, under certain conditions, could have allowed an unauthenticated user to execute arbitrary code on the GitLab server via a specially crafted regular expression in a CI/CD configuration, due to insufficient regular expression validation. |
|---|---|
| CISA KEV 説明（原文・英語） | GitLab Community Edition and Enterprise Edition contain a integer overflow or wraparound vulnerability that could allow an unauthenticated user to execute arbitrary code on the GitLab server via a specially crafted regular expression in a CI/CD configuration, due to insufficient regular expression validation. |
| CISA 推奨対応（原文） | Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines. |
| 悪用状況 | KEV登録済み（実悪用が確認済み） |
| KEV（米CISA既知悪用脆弱性カタログ） | 登録済み（確認 2026年10月30日 14:35・連邦政府対応期限 2026-11-01・ランサムウェア利用 不明） |
| CVSS評価 | cve-at-gitlab.com CVSS 3.1: 10.0 cve-at-gitlab.com: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H |
| EPSS（今後30日以内の悪用確率・FIRST） | — |
| 修正バージョン | 公表なし |
| 公表日 | 2026年10月13日 11:17 |
| 最終更新 | 2026年10月30日 13:18 |
| 最終確認 | 2026年10月30日 14:40 |
対象製品・バージョン
公表された対象製品情報はありません。
出典・根拠
AIによる補助要約
AIによる補助要約（誤りの可能性があります）。 自動生成された参考説明です。事実の数値・バージョンは上記「公式ソースで確認された事実」の機械抽出値が正です。出典は上記「03 出典・根拠」の公式リンクを参照してください。
- 概要
- 正規表現の検証不備により、認証されていないユーザーがCI/CD設定内の細工された正規表現を介してGitLabサーバー上で任意のコードを実行できる可能性がある問題です。
- 影響
- GitLabサーバー上で任意のコードが実行されるおそれがあります。
- 対応
- ベンダーの指示に従い緩和策を適用。適用できない場合は製品の使用を中止。
- 留意点
- 公式情報なし