CISA、GitLabおよびCiscoファイアウォールの脆弱性に対する実際の攻撃を警告

米国のサイバーセキュリティ・インフラストラクチャ安全保障庁（CISA）は、GitLabおよびCiscoソフトウェアに影響を与える2件の高深刻度の脆弱性を「既知の悪用済み脆弱性（KEV）」カタログに追加しました。2026年10月30日（金曜日）に発表されたこの更新では、脅威アクターがこれらの欠陥を実環境で積極的に悪用しているという確認済みの証拠が引用されています。

何が起きたか

最初の脆弱性はCVE-2026-97229として追跡されており、CVSSスコアは満点の10.0です。これはGitLab Community EditionとEnterprise Editionの両方に影響します。この欠陥により、認証されていないユーザーがCI/CD設定内で特別に作成された正規表現を送信することで、サーバー上で任意のコードを実行できるようになります。この問題は、正規表現の検証が不十分であることに起因し、整数オーバーフローまたはラップアラウンドエラーを引き起こします。

2番目の項目であるCVE-2026-76418は、Cisco Secure Firewall Adaptive Security Appliance（ASA）ソフトウェアおよびSecure Firewall Threat Defense（FTD）ソフトウェアに影響を与えます。CVSSスコア8.6を持つこの脆弱性は、チェックされていない戻り値がNULLポインタ参照につながるものです。認証されていないリモートの攻撃者は、このバグをトリガーしてデバイスを予期せずリロードさせ、結果としてサービス拒否（DoS）状態に陥らせることができます。Ciscoは今月初旬、この欠陥の積極的な悪用を検出したことを認めましたが、攻撃者の特定やキャンペーンの範囲については明らかにしていません。

GitLabの脆弱性の追加は、Alpine Linuxによる公開開示に続いています。メンテナーらは、未知の脅威アクターが2026年10月20日と21日に自社のインフラに対してこの脆弱性を悪用しようとしたと報告しました。攻撃者は細工されたCI設定を送信し、GitLabワーカープロセスを8回クラッシュさせました。4回のケースでは、次のステップでのエクスプロイトは失敗しました。アクターはまた、インスタンスからGitLabコンテナイメージをダウンロードしました。その後10月25日と26日の試みはブロックされましたが、Alpine Linuxは予防措置としてインスタンスが侵害されたとみなし、ゼロから再構築しました。

仕組み

GitLabの脆弱性は、アプリケーションがCI/CDパイプライン内の正規表現をどのように処理するかを悪用します。正規表現とは、文字列内の文字の組み合わせを一致させるために使用されるパターンです。検証が弱い場合、悪意のある複雑なパターンが整数オーバーフローを引き起こす可能性があります。これは、計算がデータ型で許容される最大サイズを超える数値を生み出し、負の値や小さな値にラップアラウンド（循環）する場合に発生します。このケースでは、オーバーフローによってセキュリティチェックが回避され、認証なしでコードの実行が可能になります。

Ciscoの欠陥はメモリ管理エラーです。ソフトウェアが関数の戻り値が有効かどうかを確認せずにそれを使用しようとすると、NULLポインタへのアクセスを試みる場合があります。NULLポインタは有効なメモリアドレスが存在しないことを表します。これを参照解除（デリファレンス）するとプログラムがクラッシュするか、ファイアウォールなどの組み込みシステムでは再起動がトリガーされます。これは資格情報なしでリモートからトリガーできるため、効果的なサービス拒否ベクトルとなります。

主要な詳細

• CVE-2026-97229: CI/CD正規表現オーバーフローを介したGitLab CEおよびEEにおける重大なリモートコード実行。
• CVE-2026-76418: NULLポインタ参照を介したCisco ASAおよびFTDソフトウェアにおける高深刻度のDoS。
• 積極的な悪用: 2026年10月下旬時点で、両方の欠陥について実環境での積極的な悪用が確認されています。
• Alpine Linux事件: 攻撃者はGitLabワーカーを8回クラッシュさせ、コンテナイメージをダウンロードしましたが、完全な制御権の獲得にはおそらく失敗しました。
• 連邦政府の期限: 連邦民間行政部門（FCEB）機関は2026年11月1日までにパッチを適用する必要があります。
• Ciscoの状況: 積極的な悪用は確認されていますが、攻撃者の身元や悪用後の行動は不明のままです。

なぜ重要なのか

DevOpsおよびインフラチームにとって、KEVカタログへのこれらの追加は即時のリスクを示唆しています。GitLabの脆弱性は、認証を必要としないため特に危険です。CI/CDパイプラインが外部からの貢献を受け入れている場合や、GitLabインスタンスがインターネットに公開されている場合、攻撃者はそれを直接ターゲットにできます。Alpine Linuxが複数のクラッシュ試みを観察したという事実は、自動化されたスキャンおよび悪用ツールがすでに流通していることを示唆しています。

Ciscoの脆弱性は、境界防御の脆さを浮き彫りにします。ファイアウォールはネットワークを保護するために存在しますが、単純なメモリ処理エラーがオフラインに追い込む可能性があります。Cisco ASAまたはFTDデバイスに依存する組織にとって、これはリモートアクターによって引き起こされる潜在的なネットワーク障害を意味します。CISAは連邦政府機関に対して迅速なパッチ適用を義務付けているため、民間セクターの組織も同様の露出を避けるためにこれらの期限をベストプラクティスのベンチマークとして扱うべきです。

対応策

• CVE-2026-97229に対処するため、GitLabインスタンスを直ちにパッチ適用してください。インターネットに公開されているサーバーを優先してください。
• CVE-2026-76418を緩和するため、Cisco ASAおよびFTDソフトウェアを最新バージョンに更新してください。
• CI/CDパイプラインの設定を見直し、正規表現の送信や変更ができる人物を制限してください。
• DoS試みを示唆する異常なトラフィックスパイクや予期せぬ再起動がないか、ファイアウォールログを監視してください。
• Alpine Linuxがインスタンスをゼロから再構築する必要があったため、バックアップおよび再構築手順がテスト済みであることを確認してください。
• 貴組織が2026年11月1日までのコンプライアンスを要求する連邦ガイドラインの対象となるかどうかを確認してください。