CVEノート

最近の脆弱性 › CVE-2026-85706

GitLab Community Edition and Enterprise Edition のパストラバーサルの脆弱性（CVE-2026-85706）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号CVE-2026-85706
製品GitLab Community Edition and Enterprise Edition
深刻度（CVSS）10.0 緊急CVSS v3.1
NVD に登録された、他の機関（開発元など）による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N
KEVへの追加日2026-09-11
米国政府機関の対応期限2026-09-14
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-35

何が起きた

GitLab の Community Edition と Enterprise Edition に、ファイルの場所の扱いが不十分な弱点（パストラバーサル）が見つかり、実際に悪用が確認されています。リポジトリのコミットを扱う API で、場所の制限と認証の確認が足りておらず、ある条件のもとで、ログインしていない利用者に GitLab のサーバーの任意のファイルを読み取られるおそれがあります。ネットワーク経由で悪用できる条件です。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者がコミットのAPIに細工した要求を送る → 2. 場所の制限と認証の確認をすり抜ける → 3. サーバーの任意のファイルを読み取られる1攻撃者がコミットのAPIに細工した要求を送る2場所の制限と認証の確認をすり抜ける3サーバーの任意のファイルを読み取られる攻撃の流れ: 1. 攻撃者がコミットのAPIに細工した要求を送る → 2. 場所の制限と認証の確認をすり抜ける → 3. サーバーの任意のファイルを読み取られる1攻撃者がコミットのAPIに細工した要求を送る2場所の制限と認証の確認をすり抜ける3サーバーの任意のファイルを読み取られる

誰が影響を受ける

自社で運用している GitLab CE/EE の 18.7 以降で、18.11.12 より前、19.0 の 19.0.9 より前、19.1 の 19.1.8 より前、19.2 の 19.2.6 より前、19.3 の 19.3.2 より前を使っている組織が影響を受けます。GitLab.com と GitLab Dedicated は、GitLab 側で対応済みです。

何をすればいい

使っている系列に合わせて、18.11.12、19.0.9、19.1.8、19.2.6、19.3.2 以降に更新されているか確認してください。18.7〜18.10 を使っている場合は、18.11.12 以降へ上げてください。

やることチェックリスト

用語メモ

パストラバーサル
ファイルの場所を指定する部分に細工をして、本来は触れないはずの場所のファイルを読み書きする攻撃のことです。
API
プログラムどうしが、決まった形でやり取りするための窓口のことです。

元データ（英語・CISA KEV より）

GitLab Community Edition and Enterprise Edition Path Traversal Vulnerability

概要

GitLab Community Edition and Enterprise Edition contains a path traversal vulnerability that allows an unauthenticated user to read arbitrary files due to an improper path confinement and missing authentication enforcement in the repository commits API.

推奨対応

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

公式情報