GitLabのCVSS 10.0欠陥CVE-2026-85706、実証コードが公開され能動的な悪用を確認 — オランダNCSCが更新を警告

要点

• オランダ国家サイバーセキュリティセンター（NCSC）は2026年9月12日、GitLab Community Edition（CE）とEnterprise Edition（EE）の脆弱性CVE-2026-85706が能動的に悪用されているとして、速やかな更新を呼びかけた。
• CVE-2026-85706は、認証を受けていない攻撃者がインターネット経由で細工したリクエストを送り、GitLabサーバ上のファイルを読み取られるおそれがある欠陥だ。CVSS基本値は10.0（最大）と評価されている。
• GitLabが修正版（19.1.8、19.2.6、19.3.2）を公開した2026年9月10日から2日後の9月12日、NCSCが能動的な悪用を確認したと発表し、事態は「修正版の適用」から「悪用が進行中の脅威への対応」へ移った。

公開の実証コードが出回り、悪用のハードルが低下

NCSCによると、CVE-2026-85706の実証コードはすでに公開されており、攻撃のハードルは低い。攻撃者はログインすることなく、設定ファイルなどのサーバ上のファイルを読み取ることができる。盗み取った設定やパスワード、アクセスキーなどの認証情報は、ソースコードや開発環境、連携する別のシステムへの侵入に使われるおそれがある。

ソースコード管理サーバには自社の独自技術やクラウド基盤の認証情報が集まるため、侵入されると情報窃取だけでなく、開発パイプラインを通じた下流への不正コード混入にもつながりかねない。

NCSCの呼びかけ：更新に加え、記録の確認と認証情報の変更を

NCSCは、悪用される可能性と被害の大きさをいずれも高いと評価し、自社で運用するGitLabを修正版（19.1.8、19.2.6、19.3.2のいずれか、またはそれ以降の対応版）へ速やかに更新するよう求めている。さらに同センターは、インターネットに公開しているサーバについては、サーバの記録を調べて悪用の痕跡がないか確認し、窃取された可能性のあるアクセス認証情報を変更するよう呼びかけている。自社で対応が難しい場合は、IT管理者や外部の支援窓口に相談することも勧めている。

GitLabが運営するGitLab.comはすでに修正版で稼働しており、GitLab Dedicated（同社が運用を代行する専用環境）の利用者は対応不要としている。

出典

• オランダ国家サイバーセキュリティセンター（NCSC）警戒情報（2026年9月12日）: https://www.ncsc.nl/alerts/kritieke-kwetsbaarheid-in-gitlab-wordt-actief-misbruikt-update-nu
• GitLab パッチリリース（19.3.2／19.2.6／19.1.8）: https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-3-2-released/