CVE-2026-85706 — GitLab パストラバーサル IOC スキャナー & 検出ツールキット

GitLab CE/EE リポジトリコミット API の未認証パストラバーサル (CVSS 3.1: 10.0, 緊急) ステータス: 野外で活発に悪用中 · CISA KEV に掲載 (2026-09-11、期限 2026-09-14) · GitLab 2026-09-10 で修正済み

CVE-2026-85706 に対応する無料のオープンソース インシデントレスポンスおよび脅威ハンティングツールキットです。これは GitLab Community Edition (CE) および Enterprise Edition (EE) の リポジトリコミット API に影響する、緊急の未認証パストラバーサル脆弱性です。本リポジトリは、セキュリティチーム、SOC アナリスト、検出エンジニア、GitLab 管理者向けに、すぐに実行できる IOC (侵害指標) スキャナー、Sigma / Suricata / Snort 検出ルール、Splunk / Elastic / OpenSearch ハンティングクエリ、および ステップバイステップの修復ガイド を提供します。悪用の試みを検出し、パッチ適用状況を確認し、この GitLab ゼロデイ / n-day 脆弱性に迅速に対応するために必要なすべてが揃っています。

🔎 「自分は影響を受けているか?」を最速で確認したい場合 は クイックスタート へ。

🚨 どのバージョンにパッチを適用すべきか確認したい場合 は 修正バージョンとパッチ へ。

目次

• 脆弱性の概要
• なぜこれが重要なのか
• 修正バージョンとパッチ
• 同じリリースで修正された関連脆弱性
• リポジトリの内容
• クイックスタート
  • 1. GitLab ログを IOC についてスキャンする
  • 2. GitLab バージョンがパッチ適用済みか確認する
  • 3. 検出ルールを SIEM / IDS にデプロイする
• スキャナーの仕組み
• 出力例
• 侵害指標 (IOC) の概要
• 検出コンテンツ
• 修復
• よくある質問
• 制限事項と免責事項
• コントリビューション
• 出典と参考資料
• ライセンス

脆弱性の概要

未認証の攻撃者が、GitLab のリポジトリコミット API に対して細工された単一の HTTP リクエストを送信し、ディレクトリトラバーサルシーケンス (../、URL エンコードされた変種など) を含む file.path (または file_path) パラメータを指定することで、サーバーが意図されたリポジトリディレクトリ外の任意のファイルの内容を返すことができます。これには GitLab 自身のシークレットファイル、データベース設定、SSH 秘密鍵、その他の機密性の高いサーバー側データが含まれます。認証情報が不要で、リクエストの作成が容易であるため、GitLab および第三者の研究者はこれを最大深刻度 (CVSS 10.0) と評価しており、CISA は 野外での活発な悪用 を確認しています。

なぜこれが重要なのか

• GitLab は数千万人の開発者と 10 万を優に超える組織が プライベートソースコード、CI/CD シークレット、インフラストラクチャ認証情報 を保存するために使用しています。
• 悪用に成功すると、ソースコードの窃取、シークレットの露出、サプライチェーンの侵害 に直結する可能性があります。gitlab-secrets.json、database.yml、または CI/CD ランナートークンを読み取った攻撃者は、最初のファイル読み取りだけが示唆するよりもはるかに深いアクセスへとピボットできます。
• この脆弱性は 認証ゼロ と 1 回の HTTP リクエスト で済みます。大規模スキャンに対する障壁は事実上存在せず、公開開示から 1 日以内にスキャン活動が観測されました。
• 現在 CISA KEV カタログ に掲載されており、米国連邦機関は加速されたスケジュールでの修復が義務付けられています。これは、セルフマネージド GitLab を運用するすべての組織が、業種に関係なく同じ緊急性をもってこれに対処すべきであるという強いシグナルです。

修正バージョンとパッチ

GitLab は 2026-09-10 に以下のリリースで CVE-2026-85706 を修正しました:

• 19.3.2
• 19.2.6
• 19.1.8

これらのブランチ内の以前のパッチレベル、または完全に古いメジャー/マイナーブランチにあるセルフマネージド GitLab CE/EE インスタンスは 脆弱 と見なされ、直ちにアップグレードする必要があります。GitLab.com の SaaS 提供は GitLab が直接パッチを適用しており、お客様の対応は不要です。完全なステップバイステップのアップグレードおよびインシデントレスポンスガイドについては docs/remediation.md を参照してください。

アップグレードに関する注意: シングルノードの GitLab インスタンスでは、これらのバージョンへのアップグレードは、GitLab が再起動する前にデータベースマイグレーションが完了する間のダウンタイムを伴います。マルチノードインスタンスでは、GitLab が文書化したゼロダウンタイムアップグレード手順に従うことで、ダウンタイムなしでパッチを適用できます。バージョン 19.3.2 には、アップグレード完了後に実行されるポストデプロイマイグレーションも含まれています。これをメンテナンスウィンドウに織り込んでください。

同じリリースで修正された関連脆弱性

CVE-2026-85706 は、合計 17 件の脆弱性をカバーする緊急 GitLab セキュリティリリース の主要な問題でした。同じリリースの他の 2 件の問題は、同様の攻撃対象領域と認証情報/シークレット露出リスクに影響するため、併せて追跡する価値があります:

実用的な結論: CVE-2026-85706 のためにパッチを適用する場合、同じ 19.3.2 / 19.2.6 / 19.1.8 リリースで上記すべての修正をすでに取り込んでいます。CVE-2026-85706 のみにパッチを適用し、残りを先送りする理由はありません。これは独立してスケジュール可能な修正のメニューではなく、完全に適用すべき 1 つのリリースとして扱ってください。

リポジトリの内容```

gitlab-cve-2026-85706-ioc/ ├── README.md ← you are here ├── LICENSE ← MIT ├── CHANGELOG.md ├── CONTRIBUTING.md ├── SECURITY.md ├── scanner/ │ ├── gitlab_cve_2026_85706_ioc_scanner.py ← main IOC scanner (stdlib-only Python 3) │ └── requirements.txt ← documents "no dependencies needed" ├── detection/ │ ├── sigma_rule_gitlab_cve_2026_85706.yml ← Sigma rule (SIEM-agnostic) │ ├── network_ids_cve_2026_85706.rules ← Suricata/Snort signatures │ └── siem_hunting_queries.md ← Splunk / Elastic / OpenSearch / grep queries ├── docs/ │ ├── ioc_list.md ← full IOC reference (network, host, post-exploitation) │ ├── remediation.md ← patch & incident-response playbook │ └── timeline.md ← public disclosure & exploitation timeline ├── tests/ │ ├── test_scanner.py ← unit tests (stdlib unittest) │ └── fixtures/sample_production_json.log ← sanitized sample log for testing └── .github/workflows/ci.yml ← GitHub Actions: lint, test, smoke-test on every push

---

## 🚀 クイックスタート

### 1. GitLab ログを IOC でスキャンする

スキャナーは **Pure Python 3 標準ライブラリ** のみで動作します — `pip install`
は不要なので、ロックダウンされた GitLab ホストにこの 1 ファイルだけをコピーして
すぐに実行できます。```bash
git clone https://github.com/jithinkrishnanrs/gitlab-cve-2026-85706-ioc.git
cd gitlab-cve-2026-85706-ioc

python3 scanner/gitlab_cve_2026_85706_ioc_scanner.py \
  --production-log /var/log/gitlab/gitlab-rails/production_json.log \
  --api-log /var/log/gitlab/gitlab-rails/api_json.log \
  --nginx-log /var/log/gitlab/nginx/gitlab_access.log \
  --format json --out report.json

終了コード 1 は、少なくとも 1 つの潜在的な IOC が見つかったことを意味します — すぐに report.json を確認してください。終了コード 0 は、提供されたログに一致するものが見つからなかったことを意味します（制限事項 を参照 — これは侵害がないことの保証ではありません）。

--generic-log（繰り返し指定可能なフラグ）で任意のログやローテーションされたログを指定することもでき、レポートの形式は --format text|json|csv で選択できます。

2. GitLab のバージョンがパッチ適用済みか確認する```bash

python3 scanner/gitlab_cve_2026_85706_ioc_scanner.py --check-version 19.2.3

→ GitLab 19.2.3 is VULNERABLE to CVE-2026-85706. Upgrade to 19.2.6 or later immediately...

python3 scanner/gitlab_cve_2026_85706_ioc_scanner.py --check-version 19.2.6

→ GitLab 19.2.6 is PATCHED for CVE-2026-85706 (fixed in 19.2.6).

### 3. 検出ルールを SIEM / IDS にデプロイする

- [`detection/sigma_rule_gitlab_cve_2026_85706.yml`](https://github.com/jithinkrishnanrs/gitlab-cve-2026-85706-ioc/blob/main/detection/sigma_rule_gitlab_cve_2026_85706.yml)
  を Sigma 互換パイプライン（`sigma-cli` 経由の Splunk、Elastic
  Detection Rules、Microsoft Sentinel、Chronicle など）にインポートします。
- [`detection/network_ids_cve_2026_85706.rules`](https://github.com/jithinkrishnanrs/gitlab-cve-2026-85706-ioc/blob/main/detection/network_ids_cve_2026_85706.rules)
  を Suricata または Snort にデプロイします — **まずはアラートのみのモードで開始**し、
  ブロッキングを有効化する前に SID/しきい値を環境に合わせて調整してください。
- [`detection/siem_hunting_queries.md`](https://github.com/jithinkrishnanrs/gitlab-cve-2026-85706-ioc/blob/main/detection/siem_hunting_queries.md)
  からすぐに使えるクエリをコピー＆ペーストしてください。
  Splunk（SPL）、Elastic/Kibana（KQL + DSL）、OpenSearch（PPL）、および
  プレーンな `ripgrep`/`grep` によるトリアージに対応しています。

---

## スキャナーの仕組み

`gitlab_cve_2026_85706_ioc_scanner.py` は、GitLab の構造化 JSON ログ
（`production_json.log`、`api_json.log`）および一般的な combined 形式の
リバースプロキシアクセスログを解析し、CVE-2026-85706 について公開されている
悪用パターンに一致するリクエストを検出します。

1. **エンドポイント一致** — リクエストパスが脆弱なエンドポイント群に該当します:
   `/api/v4/projects/:id/repository/commits` およびそのサブリソース。
2. **パラメータ一致** — `file.path` / `file_path` / `path` 形式の
   パラメータがクエリ文字列、フォームボディ、または JSON ボディに存在します。
3. **ペイロード一致** — そのパラメータの値にパストラバーサル
   シーケンス（`../`、URL エンコード、二重エンコード、過長 UTF-8、および
   セミコロンによるパスセグメントのバリアント）が含まれる **または** 既知の
   機密対象ファイル（`/etc/passwd`、`gitlab-secrets.json`、`secrets.yml`、
   `database.yml`、SSH 秘密鍵など）を参照しています。
4. **認証コンテキスト** — スキャナーは `PRIVATE-TOKEN`、
   `Authorization`、または非 null の `user_id` フィールドを確認して、
   リクエストが認証済みかどうかを判定し、この CVE の核心である
   **未認証 / 認証前** の悪用条件に一致するかを調べます。
5. **レートヒューリスティック** — ペイロード一致とは独立に、短時間に
   commits API へ異常に大量のリクエストを行っている送信元 IP を、
   スクリプトによる偵察の可能性が高いとしてフラグ付けします。

検出結果は **CRITICAL / HIGH / MEDIUM** でスコアリングされ、
トリアージ用に構造化 JSON、CSV、または人間が読めるテキストとして
エクスポートされます。

## 出力例```text
CVE-2026-85706 IOC Scan Report — 2 finding(s)
============================================================
[CRITICAL] 2026-09-11T02:14:33.120Z src=203.0.113.9 method=POST auth=False
    path: /api/v4/projects/42/repository/commits/HEAD
    matched: ../../../../etc/passwd
    reason: path-traversal sequence in file path parameter; known sensitive/system file referenced; unauthenticated request (matches pre-auth exploitation condition)
    log: production_json.log

[CRITICAL] 2026-09-11T02:16:45.501Z src=203.0.113.9 method=POST auth=False
    path: /api/v4/projects/17/repository/commits/abc123
    matched: ..%2f..%2f..%2fopt%2fgitlab%2fembedded%2fservice%2fgitlab-rails%2fconfig%2fsecrets.yml
    reason: path-traversal sequence in file path parameter; unauthenticated request (matches pre-auth exploitation condition)
    log: production_json.log

（tests/fixtures/ 内のサニタイズ済みサンプルフィクスチャから生成。）

侵害指標（IOC）概要

ホストベースおよびポストエクスプロイトの指標を含む完全な詳細は docs/ioc_list.md にあります。主要なネットワーク指標は以下のとおりです：

• /api/v4/projects/<id>/repository/commits* へのリクエスト
• ../、%2e%2e%2f、..%2f、%252e%252e%252f、または類似のトラバーサルシーケンスを含む file.path / file_path パラメータ
• /etc/passwd、/etc/shadow、gitlab-secrets.json、secrets.yml、database.yml、id_rsa、.env、または /opt/gitlab/embedded/service/gitlab-rails/config/secrets.yml への参照

検知コンテンツ

修復

完全なプレイブックは docs/remediation.md を参照してください。 概要：

1. 直ちに GitLab 19.3.2 / 19.2.6 / 19.1.8 以降へパッチを適用する。
2. 直ちにパッチを適用できない場合は、暫定措置としてパブリックインターネットへの露出を除去する（VPN 経由のアクセスのみ）— 完全な回避策は存在しない。
3. 開示（2026-09-10）以降、インターネットに公開された脆弱なインスタンスでは侵害を前提とし、シークレットをローテーションする：GitLab シークレットファイル、データベース認証情報、SSH キー、パーソナルアクセストークン、CI/CD 変数、ランナー登録トークン。
4. パッチ適用の前後に、本リポジトリのツールを用いてログをハンティングする。
5. 検出された所見を調査し、悪用が確認された場合はインシデントレスポンスを開始する。

よくある質問

GitLab.com（SaaS）は影響を受けますか？ GitLab.com については顧客側の対応は不要です — GitLab は自社の SaaS プラットフォームに直接パッチを適用します。本ツールはセルフマネージドの GitLab CE/EE インスタンス向けです。

悪用されるには認証が必要ですか？ いいえ — それこそがこの CVE を CVSS 10.0 にしている理由です。単一の API エンドポイントに対する未認証のパストラバーサルです。

公開されたエクスプロイト / PoC はありますか？ 本稿執筆時点で、確認された公開の概念実証は特定されていませんが、活発なスキャン/プロービングが観測されています。本リポジトリにはエクスプロイトコードは含まれず、リンクもしていません — その理由は CONTRIBUTING.md を参照し、最新のベンダーガイダンスについては常に公式の GitLab CVE-2026-85706 アドバイザリ を確認してください。

スキャナーは侵害されたかどうかを確実に教えてくれますか？ そのようなことを保証できるツールはありません。提供されたログに基づき、ベストエフォートの検知を行います。制限事項と免責事項 を参照してください。

必要なログ保持期間はどれくらいですか？ GitLab のデフォルトのログローテーションでは、開示日（2026-09-10）までログが保持されない可能性があります。オンホストのログがすでにローテーションされている場合は、集中管理された SIEM/ログアーカイブから取得してください — detection/siem_hunting_queries.md の注記を参照してください。

このリポジトリは GitLab Helm/Kubernetes や Docker デプロイメントで動作しますか？ はい、スキャナーが読み取れるファイルに production_json.log / api_json.log（またはイングレス/リバースプロキシのアクセスログ）をエクスポートできる限り動作します。3 つの名前付きログタイプ以外には --generic-log を使用してください。

影響を受けるバージョンは正確にはどれですか？ GitLab CE/EE 18.7 から（19.1.8 を含まず）まで、19.2 から（19.2.6 を含まず）まで、および 19.3 から（19.3.2 を含まず）まで。18.7 ブランチより古いものもサポート外/サポート終了であり、脆弱として扱い、無条件にアップグレードすべきです。

これは実際に悪用されたのか、それとも単に「リスクがある」だけですか？ 悪用が確認されています。watchTowr Labs は GitLab の公開開示から約 24 時間後に最初の実環境での悪用試行を観測し、CISA はその後、現実世界での悪用を確認したとして CVE-2026-85706 を KEV カタログに追加しました — これは理論上の、あるいは「責任ある開示のみ」の所見ではありません。

CISA BOD 26-04 の「フォレンジックトリアージ」指定は私にとって何を意味しますか？ CISA はこの CVE を Binding Operational Directive 26-04 に基づくフォレンジックトリアージを要するものとして指定しました。これは連邦システムにおいては、脆弱でインターネットに公開されたインスタンスがパッチ適用前にすでにアクセスされた可能性があるという前提を意味します — 単に理論的に露出していたというだけではありません。同じ前提はあらゆる組織にとって妥当なデフォルトです：パッチ適用をインシデントレスポンスプロセスの第一歩として扱い、その終わりとはしないでください。完全な侵害前提チェックリスト（シークレットローテーション、認証情報レビュー、CI/CD 監査）については docs/remediation.md を参照してください。

同じ GitLab リリースで他に修正されたものはありますか？ はい — 2026 年 9 月 10 日のリリースでは合計 17 件のセキュリティ問題が修正されました。これには 2 件目のCritical 深刻度の問題（GitLab EE の GraphQL サブスクリプションシリアライザーにおける安全でないデシリアライゼーション）と、Unicode 変換ラッパーにおけるHigh 深刻度のバッファオーバーフローが含まれます。同じリリースで修正された関連脆弱性 を参照してください。これらはすべて同じ 19.3.2 / 19.2.6 / 19.1.8 バージョンで提供されるため、CVE-2026-85706 へのパッチ適用によりこれらも同時に修復されます。

制限事項と免責事項

• 本ツールはベストエフォートの検知のみを行います。所見がないことは、システムが侵害されなかったことを証明するものではありません — ログがローテーションされている、攻撃者によって改ざんされている、またはログ設定で関連フィールドが有効になっていない可能性があります。
• 所見があることは、それ自体で悪用の成功を証明するものではありません — インシデントを宣言する前に、常に自組織のネットワークコンテキスト（既知のスキャナー、正当な自動化）に対して一致を手動で検証してください。docs/ioc_list.md の誤検知に関する注記を参照してください。
• 本プロジェクトは GitLab Inc. と提携しておらず、承認も受けていません。権威あるベンダーガイダンスについては、常に GitLab の公式セキュリティリリースノートおよびアドバイザリを参照してください。
• 本リポジトリにはエクスプロイトや概念実証コードは含まれていません。これは厳密に防御的な検知および修復ツールキットです — プロジェクトのスコープポリシーについては CONTRIBUTING.md を参照してください。

コントリビューション

新しい IOC、検知ルールの移植、誤検知レポート、スキャナー改善のコントリビューションを歓迎します — ガイドライン（エクスプロイトコード禁止ポリシーおよびデータサニタイズ要件を含む）については CONTRIBUTING.md を参照してください。

出典と参考資料

• GitLab, Critical Patch Release: 19.3.2, 19.2.6, 19.1.8（2026-09-10）— 公式ベンダーアドバイザリ、17 件のセキュリティ修正の完全な表、および アップグレード/ダウンタイムに関する注記
• watchTowr Labs, Rapid Reaction: GitLab Path Traversal Vulnerability (CVE-2026-85706)（2026-09-11）— 開示から約 24 時間後の 実環境でのプロービングに関する最初の報告
• SecurityWeek, GitLab Vulnerability Exploited One Day After Disclosure （2026-09-11）— 正確な影響バージョン範囲（18.7–19.1.8、19.2–19.2.6、 19.3–19.3.2）および活発な悪用の確認
• BleepingComputer, GitLab urges users to patch max severity path traversal flaw（2026-09-11）— 研究者のクレジット（HackerOne ハンドル "s3ntago"）および開示の経緯
• CISA Known Exploited Vulnerabilities (KEV) Catalog — CVE-2026-85706 エントリ、2026-09-11 追加、修復期限 2026-09-14
• CISA / GBHackers, CISA Warns of Critical GitLab Vulnerability Exploited in Attacks（2026-09-11/12）— CWE-35 分類および Binding Operational Directive 26-04 のフォレンジックトリアージガイダンス
• Horizon3.ai Attack Research — CVE-2026-85706 技術解説
• Field Effect, GitLab fixes critical vulnerability as internet-wide probing begins — 緩和策およびインベントリガイダンス
• 独立研究者による報告（dev.to）、観測された活発なスキャン 活動および攻撃フロー分析（2026-09-11/12）

完全な引用詳細と追加のコンテキストは docs/timeline.md にあります。

ライセンス

MIT License の下でリリースされています。検知コンテンツ（Sigma、 Suricata/Snort ルール、SIEM クエリ）は防御目的で現状のまま提供されます； 運用で依存する前に、しきい値と誤検知処理を自組織の環境に合わせて調整してください。

キーワード

CVE-2026-85706 GitLab CVE-2026-85706 GitLab path traversal GitLab vulnerability GitLab IOC GitLab indicators of compromise GitLab security advisory GitLab exploit detection GitLab CVSS 10.0 GitLab CISA KEV GitLab repository commits API vulnerability GitLab unauthenticated file read GitLab arbitrary file read path traversal CVE 2026