脆弱性が公開されてから、悪用が始まるまで——その時間がどんどん短くなっています。今回GitLabで見つかった重大な脆弱性は、公開後わずか数分でセキュリティ企業自身が再現に成功し、実際の悪用もすでに観測されています。自社でGitLabをホストしている企業・開発チームにとっては、リポジトリを丸ごと削除されたり、修正が入ったように見せかけられたりする恐れがある、見過ごせない内容です。
未認証でリポジトリを改ざん・削除できる脆弱性
今回見つかったのは、GitLabにおけるコードインジェクションの脆弱性（CVE-2026-19478、CVSSスコア9.4＝緊急）です。The Hacker Newsの報道によれば、セキュリティ企業watchTowrが、公開からわずか数日のうちに実際の悪用を確認しています。
この脆弱性の怖いところは、条件の少なさです。認証情報もユーザーの操作も、特殊な設定も必要とせず、未認証の攻撃者が公開されているGitLabプロジェクトを改ざん・削除できてしまいます。悪用にはGraphQLの特定のディレクティブが使われるとGitLab自身が今週の警告で説明しています。
リポジトリ削除だけでなく「証拠の偽造」も可能
watchTowrによれば、影響範囲は単なるプロジェクトの改ざん・削除にとどまりません。攻撃者はリポジトリを丸ごと削除できるだけでなく、「マージ記録を偽造して、実際には入っていない修正があたかも適用されたかのように見せかける」ことや、「プロジェクトのメンテナーをBAN（追放）する」ことまで可能だといいます。単なるデータ破壊ではなく、開発チームの信頼できる記録そのものを操作されてしまう点が、深刻さを増しています。
watchTowrの研究者は、「これがAIを活用した攻撃者による脆弱性の再現・悪用の新しい現実だ」と指摘しています。かつては脆弱性が公開されてから実際の攻撃が本格化するまで、ある程度の猶予がありましたが、AIの活用によってその時間差が圧縮され、「次の定期パッチまで待つ」という従来の運用感覚が通用しなくなりつつあります。
自社ホスト型GitLabを使っているなら今すべきこと
インターネットに公開しているセルフホスト型のGitLabインスタンスは、特に優先度を上げてパッチ適用を進めてください。GitLab CE/EEとも該当バージョン一覧を確認のうえ、修正版へのアップデートが最優先です。
即座のアップデートが難しい場合は、「/api/graphql」への未認証アクセスを制限するか、公開リポジトリへのアクセス自体を一時的に無効化することが緩和策として有効です。
watchTowrは、Webログの中に「@gl_introduced」という文字列を含むリクエストがないか確認するよう推奨しています。すでに探索行為や悪用の試みを受けていないか、一度ログを確認しておくと安心です。
まとめ
後回しになっていませんか
GitLabやWordPressなど、自社で運用しているシステムのパッチ適用体制は整っていますか。AI活用で攻撃側のスピードが上がる中、更新体制の見直しから実際の保守運用まで、実務に即したサポートをご提案します。島根県から全国対応です。
DX・AI活用のご相談はこちら
無料相談する →