GitLab CVE-2026-97229ほか5件 — 10月30日の脆弱性まとめ（悪用確認6件）
GitLab CE/EE の CVE-2026-97229（CVSS 10.0）と Cisco ASA/FTD の CVE-2026-76418 が10月29日に CISA KEV へ追加。セルフホスト版 GitLab と SSL VPN 利用企業は本日更新を。PHP・Brotli・Linux・ESX も整理。
2026年10月29日（米国時間）、CISAは GitLab の CVE-2026-97229（CVSS 10.0）と Cisco Secure Firewall ASA/FTD の CVE-2026-76418（CVSS 8.6）を悪用確認済み脆弱性（KEV）に追加した。両方とも米連邦機関の対応期限は11月1日で、セルフホストの GitLab か ASA/FTD の SSL VPN を使っている会社は、本日中に更新を始める。 10月26〜28日に KEV へ入った PHP、Brotli、Linux カーネル、VMware ESX の4件も合わせて整理した。公式の深刻度が最も高いのは GitLab、ベンダー自身が攻撃を認識していると明記しているのは Cisco である。
10月30日19時（JST）時点の CISA KEV、NVD、各ベンダーのアドバイザリ、JPCERT/CC の注意喚起で確認した内容に基づく。CVSS は付与元を併記し、公式に明記のない点は「記載なし」とする。
今日の脆弱性一覧
| 製品 | CVE | 深刻度（CVSS） | 悪用状況 | 対処（修正版） |
|---|---|---|---|---|
| GitLab CE/EE（セルフホスト） | CVE-2026-97229 | 10.0 Critical（GitLab 付与。NVD は分析中） | KEV 追加（10/29）。GitLab の公式ページに悪用の記載なし | 19.2.8 / 19.3.5 / 19.4.2 以降 |
| Cisco Secure Firewall ASA / FTD | CVE-2026-76418 | 8.6 High（Cisco 付与） | Cisco が「10月に悪用を認識」と明記。KEV 追加（10/29） | ASA 9.18.4.96 / 9.20.4.50 など、FTD 7.4.9 / 7.6.7 など（下記） |
| PHP | CVE-2026-109618 / 109619 | 9.2 Critical（PHP 付与）。NVD は 9.8 / 8.1 | KEV 追加（10/26）。JPCERT/CC が攻撃の観測報告を記載 | 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 以降 |
| Google Brotli（Node.js 等が同梱） | CVE-2026-111497 | 9.8 Critical（NVD）／9.2（Google） | KEV 追加（10/27） | Brotli 1.0.10 / 1.1.1 / 1.2.1、Node.js v22.23.4 / v24.22.1 / v26.12.1 |
| Linux カーネル | CVE-2026-46300 | 7.8 High（NVD） | KEV 追加（10/28） | 安定版 6.6.141 / 6.12.91 / 7.0.10 など（下記） |
| VMware ESX | CVE-2026-41709 | 2.7 Low（Broadcom 付与） | KEV 追加（10/28）。Broadcom の公式記載なし | ESXi80U3j-25429389（8.0）など |
1. GitLab CVE-2026-97229 — 認証不要でサーバー上のコードが動く恐れ
GitLab の公式リリースノートによると、CI/CD 設定の正規表現の検証が不十分なため、認証されていない攻撃者が細工した正規表現でサーバー上の任意のコードを実行できる可能性がある。弱点の種類は整数オーバーフロー（CWE-190）で、CISA の名称はこれに由来する。
- 深刻度: CVSS 10.0（Critical）。付与元は GitLab。NVD は10/30時点で分析中
- 影響: CE/EE の 19.2 系で 19.2.8 前、19.3 系で 19.3.5 前、19.4 系で 19.4.2 前
- 修正版: 19.2.8、19.3.5、19.4.2 以降（10月12日のパッチリリース）。GitLab.com と Dedicated は対応済みで、更新が要るのはセルフホスト版
- 回避策: 記載なし
- 悪用: 公式ページに記載なし。CISA は10/29に KEV へ追加し、期限を11/1とした
単一ノード構成では更新時に停止が出る。公開サーバーは、更新まで社外アクセスを VPN 経由に絞ることも検討する。公式: GitLab Patch Release 19.4.2
2. Cisco ASA / FTD CVE-2026-76418 — SSL VPN が再起動させられる
Cisco のアドバイザリによると、SSL VPN のトンネルグループでセカンダリ認証を設定していると、認証前の攻撃者が細工した要求で装置を再起動させられる。結果はサービス拒否（DoS）だが、再起動が続けばテレワークや拠点間通信が止まる。
- 深刻度: CVSS 8.6（High）。付与元は Cisco
- 条件: SSL VPN（webvpn）が有効で、トンネルグループに secondary-authentication-server-group を設定（DefaultWEBVPNGroup 含む）。クラウド提供の Firewall、cdFMC、Secure Access は対象外
- 修正版（ASA）: 9.16以前は 9.16.4.104、9.18は 9.18.4.96、9.20は 9.20.4.50、9.22は 9.22.3.200、9.23は 9.23.1.48、9.24は 9.24.1.27 か 9.24.10.1
- 修正版（FTD）: 7.0以前は 7.0.11、7.2は 7.2.13、7.4は 7.4.9、7.6は 7.6.7、7.7は 7.7.14、10.0は 10.0.3、10.1は 10.1.1
- 回避策: 恒久策なし。暫定策はセカンダリ認証の無効化（VPN の安全性は下がる）で、Cisco は更新を勧めている
- 悪用: Cisco が2026年10月に認識したと明記。KEV 追加は10/29、期限は11/1
該当するかは Cisco Software Checker で確認できる。保守を委託しているなら「セカンダリ認証を使っているか」「更新日はいつか」を聞く。公式: Cisco Security Advisory
3. PHP CVE-2026-109618 / 109619 — JPCERT/CC が10月29日に更新
認証不要 RCE につながる2件は10/26に KEV 入りしている。JPCERT/CC は10/29の更新で、あるファイアウォール製品に侵害の痕跡が報告されたこと、攻撃者が本脆弱性と Linux カーネルの権限昇格を組み合わせたとされること、侵害機器から内部へ横展開を試みた痕跡があることを追記した。一部ベンダーも攻撃を観測したと公表している。
- 深刻度: 109618 は PHP 付与が 9.2（CVSS 4.0）、NVD は 9.8。109619 は PHP 付与が 9.2、NVD は 8.1
- 影響: 8.5.12 前の 8.5 系、8.4.27 前の 8.4 系、8.3.36 前の 8.3 系、8.2.35 前の 8.2 系。8.1 以前に修正版はない
- 緩和策: 更新だけが完全な対策。session.upload_progress.enabled=0 とワーカー再起動は暫定策（JPCERT/CC）
手順は PHP の重大脆弱性 対応ガイド を参照。公式: JPCERT/CC AT-2026-0033
4. Brotli CVE-2026-111497 — Node.js などが同梱する圧縮ライブラリ
細工した Brotli データを処理すると、メモリ破壊、情報漏えい、停止、場合によっては任意コード実行に至る恐れがある。Node.js の公式ブログは、node:zlib で展開するデータを攻撃者が与えられる場合に当たるとしている。
- 深刻度: NVD 9.8（CVSS 3.1）、Google 9.2（CVSS 4.0）。Node.js は High
- 影響: Brotli 1.0.3 以上 1.0.10 未満、1.1.0 以上 1.1.1 未満、1.2.0 以上 1.2.1 未満。Node.js は 22 / 24 / 26 系
- 回避策: なし（JPCERT/CC）。悪用: KEV 追加は10/27、JPCERT/CC に記載なし
製品に組み込まれている場合は自覚なく影響を受ける。まず node -v を確認し、外注の Web アプリは開発会社に更新予定を聞く。公式: JPCERT/CC AT-2026-0034
5. Linux カーネル CVE-2026-46300 — 権限昇格（ローカル）
パケット処理で共有メモリを示す印が失われ、IPsec の処理がページキャッシュ上のメモリを直接書き換える恐れがある。必要なのはそのサーバー上の低権限アカウントで、外部から直接突かれる型ではない。ただし他の侵入後に権限を奪う踏み台になり得る。
- 深刻度: CVSS 7.8（High）。NVD と Linux カーネル CNA が同値。ローカル攻撃（AV:L）
- 修正版: 安定版 5.15.208、6.1.174、6.6.141、6.12.91、6.18.33、7.0.10 以降。NVD 上 5.10 系は 5.10.257 までが影響範囲。ディストリビューションは独自にバックポートするため各社のアドバイザリで確認
- 回避策・悪用: NVD の記載では回避策は確認できず。KEV 追加は10/28
カーネルは更新と再起動で完了する。レンタルサーバーは事業者対応が多く、VPS やオンプレは自社で uname -r を確認する。出典: NVD CVE-2026-46300
6. VMware ESX CVE-2026-41709 — 深刻度は低いが KEV 入り
管理者権限を持つ悪意ある者が、操作をログに残さず実行できるログ不備である。Broadcom の評価は CVSS 2.7（Low）で、悪用の記載はないが、10/28に KEV へ入った。
- 修正版: ESX 8.0 は ESXi80U3j-25429389、9.0 は ESXi-9.0.2.0100-25595025、9.1 は ESXi-9.1.0.0-25370933。ESX 7.0 はこの CVE の対象表に載っていない
- 回避策: なし。KEV の期限は11/11
公式: Broadcom VMSA-2026-0006。点数が低くても KEV に載る例があるため、優先順位は点数だけでなく KEV 入りの有無でも決めるとよい。
非IT担当者向け: 今日やることチェックリスト
- GitLab（セルフホスト）、Cisco ASA/FTD、PHP のサイト、Node.js アプリ、自社運用の Linux サーバー、VMware ESX のどれを使うかを IT 担当や保守委託先に聞く
- 該当するものは、更新日を今日中に回答してもらう
- ASA/FTD の SSL VPN はセカンダリ認証の有無を最優先で確認する
- GitLab を公開している場合は、更新まで VPN 経由に絞れないか相談する
- 更新による停止を社内に事前告知し、更新後はバージョン番号と日付を記録する
- 悪用が確認済みの製品は、更新だけで終わらせずログや不審なファイルの確認も依頼する
出典
- CISA: Adds Two Known Exploited Vulnerabilities to Catalog（2026-10-29）
- CISA KEV カタログ
- GitLab Patch Release 19.4.2
- Cisco Security Advisory
- JPCERT/CC AT-2026-0033
- JPCERT/CC AT-2026-0034
- PHP GitHub Advisory
- Node.js 2026年10月のセキュリティリリース
- Broadcom VMSA-2026-0006
- NVD: 97229、76418、111497、46300、41709、109618
KEV に載った脆弱性は、必ず自社が攻撃されるのですか。
いいえ。どこかで実際に悪用された証拠があるという意味で、自社が狙われると決まったわけではありません。ただ攻撃手法が出回っているため、該当製品は他の修正より先に更新するのが安全です。
Cisco の件は DoS なので、急がなくてよいですか。
急ぐべきです。Cisco が悪用を認識していると明記し、CISA の期限も11月1日です。VPN 装置が再起動し続けると通信が止まります。セカンダリ認証の無効化は暫定策で、基本は更新です。
GitLab.com（クラウド版）を使っていると対応が必要ですか。
GitLab の公式ページは、GitLab.com と GitLab Dedicated は対応済みとしています。更新が必要なのは、自社サーバーに入れたセルフホスト版です。
更新後に、侵害されていないかも確認すべきですか。
悪用が確認されている脆弱性では、更新前に侵入された可能性が残ります。JPCERT/CC も、痕跡がなくても攻撃を受けていないとは断定できないとしています。不審なログや見覚えのないファイル、外部通信を確認し、不安なら専門家に調査を依頼してください。
この記事に関連する無料ツール（登録不要・その場で結果）
お気軽にご相談ください
お問い合わせ