GitLab、誰が更新する？ 開発会社へ確認したい重大な弱点

どんな機能？ 名前を知らなくても、使っているかも。

GitLab（ギットラボ）は、アプリやHPのプログラム、変更履歴、開発の確認作業をまとめて扱う道具です。お客さまが見るHPの画面とは別の、開発を支える場所で使われることがあります。

説明用の例です。店舗のHPはいつもどおり見えていても、制作会社が変更内容を保管する道具の更新担当は別かもしれません。HPが見えることだけで、開発側の更新も済んだとは判断せず、契約上の担当を照合しましょう。

何が起きるおそれがある？

CVE-2026-97229は、GitLabがCritical（クリティカル、重大）、CVSS 10.0と評価した問題です。数字は深刻度であり、自社での被害確率ではありません。CI/CD（シーアイ・シーディー、開発の確認や公開を自動で進める仕組み）の設定処理を通じ、ログインしていない相手にサーバーで不正な命令を実行されるおそれがあります。CVEは弱点を識別する番号です。

今回の確認対象はSelf-Managed（セルフマネージド、自社や委託先がサーバーを管理する運用）の該当版です。10月12日の告知では、GitLab.comとGitLab Dedicatedは今回の修正を実施済みとされています。利用者が同じサーバー更新を行う案内ではありません。

対象と、修正を分けて確認する。

影響するバージョン・条件

CVE-2026-97229の対象はGitLab CE/EEの19.2系は19.2.8未満、19.3系は19.3.5未満、19.4系は19.4.2未満です。CE/EEは製品の区分。使っているURL、運用形態、稼働中の版を担当者に照合してもらいます。

修正版・更新先

この問題の最低修正版は19.2.8・19.3.5・19.4.2です。これは97229への修正の境界であり、今から選ぶ更新先をこの3版に固定する意味ではありません。

あわせて知っておきたいこと

10月21日には、別のCriticalの問題CVE-2026-110264にも修正が出ています。修正版は19.5.1・19.4.3・19.3.6・19.2.9・19.1.9・19.0.10・18.11.13。97229の悪用確認を110264へ転用しません。また、Ruby（ルビー、プログラムを動かす言語・実行環境）は10月23日、関連する4件の原因を直した4.0.9・3.4.12・3.3.13を案内しました。GitLabは同梱Rubyへ修正を取り込んでおり、OS側のRubyだけを替えて対応完了とは扱いません。GitLab以外では、攻撃者が指定できる文字列を正規表現（せいきひょうげん、文字を探す条件）へ変換するアプリが条件です。開発者が書いた条件だけを使うアプリまで一律の対象にせず、使い方を確認します。

確認日以降に、新しい修正や案内が出る場合があります。適用時は保守担当者が最新の公式情報と照合してください。

担当者と、何から進める？

1. 01

   利用の有無と、責任者を一緒に確認する

   経営者がまず行うのは、開発会社への確認です。自社でサーバーを運用するのか、サービスとして利用するのか、更新・契約・障害時の連絡先を一枚に整理します。分からない項目を推測で埋めず、回答者と確認日を残しましょう。

2. 02

   記録を残し、停止と戻し方を決める

   保守担当は、不審な操作が疑われる場合にログ（操作・通信の記録）をどう保全するかを先に検討します。更新や復元と、過去の侵害有無の調査は別です。停止中に困る開発作業、代替の連絡方法、再開・復旧を決める責任者を相談してください。

3. 03

   バックアップと、更新経路を試験する

   公式手順に沿い、データに加えて設定・暗号化に使う秘密情報の控えと復元方法を専門担当者が確認します。バックアップと復元先のGitLabは、版と種別（CE/EE）を合わせる条件にも注意。本番を複製した試験環境で、中継が必要な版、互換性、戻し方を検証し、実際の停止時間と工数を見積もります。秘密情報を相談フォームへ送る作業ではありません。

4. 04

   更新後は、開発の仕事が戻ったかを見る

   担当者が稼働中の版を確認し、ログイン、プロジェクト一覧、変更内容の閲覧、clone（クローン、プログラムの複製取得）やpush（プッシュ、変更の送信）を確認します。自動実行を使うなら、試験用の処理と連携先も照合。本番公開が意図せず走らない試験を選び、止めた作業の再開、確認結果と残件を記録します。

保守会社に、このまま聞けます。

当社や委託先でGitLabを使っているか、運用形態・稼働中のCE/EEと版・更新担当を教えてください。CVE-2026-97229と、その後の重大修正への対応状況を根拠付きで確認したいです。更新先と必要な中継版、ログの保全と侵害調査の要否、バックアップの範囲と復元試験、停止の影響・時間・工数・費用、更新後の閲覧やclone等の確認、再開と戻し方、未確認事項を相談させてください。パスワード、秘密鍵、トークン、非公開コードは添付しません。

停止時間・費用・戻し方まで含む確認文をコピーする →