何が起きたか
CISAは2026年10月29日にCVE-2026-97229を既知の悪用された脆弱性カタログに追加し、実世界での悪用を確認しました。これはGitLabのCI/CD正規表現コンパイラの整数オーバーフローであり、未認証の攻撃者が任意のコードを実行できるものです。同じ正規表現エンジンは数日後に姉妹となるCVSS 10のRCE（CVE-2026-110264）を生成しました。脆弱なパスはGitLab 7.0以降存在しています。
なぜ重要か
GitLabはAIソフトウェアサプライチェーンの多くを制御するプレーンです — モデル/ソースリポジトリ、モデルをトレーニングおよびデプロイするCI/CD、そしてますますMCPサーバー統合。ここでの確認済みの未認証RCEは、AIリポジトリの秘密、モデルアーティファクト、およびデプロイ資格情報を保存するまさにそのホスト上で攻撃者にコード実行を与えます。
攻撃経路
未認証ユーザーは、特別に細工された正規表現（CI/CD設定内など）を提供し、Ruby/Onigmo正規表現コンパイラがパターンバイトコードを構築する際に整数オーバーフローを引き起こします。ラップアラウンドはメモリを破壊し、入力が一致する前に任意のコード実行に誘導できます。Regexp.timeoutはこれに対する保護を提供しません。
影響を受けるシステム
GitLab CE/EE — CI/CD設定で特別に細工された正規表現をコンパイルする際の整数オーバーフロー（CVSS 10.0）。18.11/19.0/19.1/19.2/19.3/19.4/19.5のパッチリリースセットで修正（例：19.4.3、19.3.6、19.2.9、19.1.9、19.0.10、18.11.13）。
緩和策
修正済みリリースに即座にパッチを適用してください（セルフマネージドインスタンスのみ；GitLab.comは既に修正済み）。CISAはこれをKEVに記載し、連邦政府の期限を2026年11月1日としています。