CISAの警告で、GitLab最重要脆弱性が悪用確認済みカタログ入り

認証なしで秘密情報を読み取れるとの報告

記事によると、攻撃者はGitLabのCVE-2026-85706を悪用している。
この脆弱性は、リポジトリーのコミットを扱うAPI（ソフトウェア間で機能をやり取りする仕組み）で認証を必須とする処理やパスの制限が不十分な問題で、認証なしの攻撃者が脆弱なサーバーから認証情報、秘密情報などを読み取れるとされる。
CISAはこれを既知の悪用脆弱性カタログに追加したと報じられた。

GitLabはCVE-2026-85706の修正版を公開していた一方、この脆弱性を実際に悪用されているものとして指定してはいなかった。

報道によると、CISAはCVE-2026-85706を既知の悪用脆弱性カタログに加え、米連邦機関に影響を受けるシステムの保護へ3日間の期限を設けた。

修正版と連邦機関の期限

記事によると、Community EditionとEnterprise Editionの19.3.2、19.2.6、19.1に修正がある。
今回の変化は、その公開に加えてCISAの悪用済みカタログに入り、連邦機関へ3日間の対応期限が示されたことだ。