米国の CISA は2026年10月29日、セルフマネージド版 GitLab Community Edition / Enterprise Edition の深刻な脆弱性 CVE-2026-97229 を、悪用が確認された脆弱性カタログ（KEV、カタログバージョン 2026.10.29）に追加しました。hol.org が伝える KEV のデータによると、米連邦政府機関の対応期限は2026年11月1日で、ランサムウェアでの悪用は「不明」とされています。
この脆弱性は GitLab CI/CD が使う正規表現コンパイラの整数オーバーフローで、CVSS 10.0 と評価されています。根本原因は Ruby に組み込まれた正規表現エンジン Onigmo にあります。GitLab は10月12日に 19.2.8、19.3.5、19.4.2 で修正しており、GitLab.com は対応済み、GitLab Dedicated の利用者は対応不要です。10月13日に実証コード（PoC）を公開した Rapid7 によると、攻撃には公開プロジェクトに悪意ある .gitlab-ci.yml をプッシュできる必要があり、コードは GitLab の git ユーザー権限で実行されます。誰でもユーザー登録とプロジェクト作成ができる環境では、この条件は事実上なくなります。
実際の攻撃の試み：Alpine Linux は、10月20〜21日に新規登録されたアカウントが細工した CI 設定を同プロジェクトの GitLab サーバーに送り、ワーカープロセスが8回クラッシュしたと公表しました。Alpine は誤って 19.3.5 ではなく 19.3.4 に更新しており、その後の 19.3.6 のイメージも修正されていない標準の Ruby を使っていました。Alpine は攻撃が成功した証拠は見つかっていないものの、否定もできないとして、サーバーを再構築し、全パスワードをリセットし、GitLab の秘密鍵を入れ替えました。リリースやパッケージは改ざんされていないとしています。
GitLab の更新だけでは不十分な理由：GitLab は Ruby の修正を公式パッケージとイメージにのみ適用しています。ソースからのインストール、ディストリビューションのパッケージ、独自の Ruby を使うサードパーティ製イメージでは、Ruby 3.3.13、3.4.12、4.0.9 以降への更新も必要です。hol.org によると、Ruby 3.2 はサポート終了済みで修正は提供されません。
ほかの攻撃に関する公開情報は限られており、CISA は誰がどの程度悪用しているかを明らかにしていません。
