GitLabは、Self-Hosted AI Gatewayに影響する重大な脆弱性「CVE-2026-90970」を修正しました。CVSSスコアは9.9で、Duo Agent Platformへアクセスできる認証済みユーザーが、特定条件下でAI Gateway上の任意コマンドを実行できる可能性があります。GitLabがホストするAI Gatewayはすでに修正済みで、対応が必要なのは自己ホスト環境を利用する組織です。
The Hacker News：GitLab Patches Critical 9.9 AI Gateway Flaw Allowing Command Execution on Self-Hosted Servers
この記事のポイント
影響のあるシステム
- GitLab Self-Hosted AI Gatewayのバージョン18.1.6以降、19.2.4未満が影響を受けます。
- GitLab AI Gateway 19.3系では19.3.2未満、19.4系では19.4.1未満が影響を受けます。
- 修正版は19.2.4、19.3.2、19.4.1です。
- GitLab.com、GitLab Dedicated、およびGitLabがホストするAI Gatewayを利用するGitLab Self-Managed環境は修正済みで、GitLabによると追加対応は不要です。
- 脆弱性を悪用するには、認証済みでDuo Agent Platformへアクセスできることが前提とされています。
- CVSSスコアは9.9で、GitLabは深刻度を「Critical」と評価しています。
推奨される対策
- Self-Hosted AI Gatewayを利用している場合は、19.2.4、19.3.2、19.4.1のいずれかの修正版へ速やかに更新してください。
- Dockerで運用している場合は、稼働中のコンテナを更新済みイメージへ置き換えてください。
- Helmで運用している場合は、チャート内のAI Gatewayイメージタグを修正版へ変更してください。
- 現在利用しているAI Gatewayのバージョンを確認し、GitLab本体のバージョンだけで安全性を判断しないようにしてください。
- 更新できない環境向けの回避策は元記事およびGitLabの公開情報では示されていないため、更新を優先してください。
- AI GatewayにはJWT署名鍵などの機密情報が配置されるため、侵害が疑われる場合はGatewayだけでなく関連する認証情報や接続先も含めた調査が必要です。
上記の対策は元記事の事実に基づき、一般的なセキュリティ運用対策を補足して整理したものです。
この記事に出てくる専門用語
- CVE-2026-90970：GitLab Self-Hosted AI Gatewayのcustom flow prompt templateに存在する脆弱性です。特定条件下でプロンプトテンプレートのサンドボックスを回避し、任意コマンド実行につながる可能性があります。
- CVSS 9.9：脆弱性の深刻度を0.0～10.0で評価するCVSSにおいて、極めて高い危険度を示す値です。
- AI Gateway：GitLabとAIモデルの間を仲介するサービスです。GitLab DuoなどのAI機能からモデルへのリクエストを処理します。
- Self-Hosted AI Gateway：GitLab側ではなく、利用組織自身のインフラ内で運用するAI Gatewayです。AIのリクエストやレスポンスを自社環境内に保持したい場合などに利用されます。
- Duo Agent Platform：GitLabのAIエージェント機能を利用し、複数ステップのタスクなどを自動化するためのプラットフォームです。
- Custom Flow：Duo Agent Platform上で利用者が作成できるAIベースのワークフローです。
- Prompt Template Sandbox：テンプレート処理を制限された環境内で実行し、意図しないコードや命令の実行を防ぐための仕組みです。
- CWE-1336：テンプレートエンジンに入力された値が適切に処理されず、意図しないコード評価などにつながる弱点の分類です。
Self-Hosted AI Gatewayだけが今回の対応対象
今回のCVE-2026-90970で最初に確認すべきなのは、自社がGitLabのAI Gatewayをどの形態で利用しているかです。GitLab AI Gatewayは、GitLabのインスタンスとAIモデルの間を接続する独立したサービスで、GitLab DuoなどのAI機能から送信される処理を仲介します。GitLab自身がGatewayを運用する構成と、利用組織が自社環境でGatewayを運用するSelf-Hosted構成があります。
GitLabによると、GitLabが管理するAI Gatewayにはすでに修正が適用されています。そのため、GitLab.com、GitLab Dedicated、およびGitLab Self-Managedを利用していてもAI Gateway自体はGitLab側のホスト環境を利用している場合、今回の脆弱性に対する追加作業は必要ないとされています。
一方、自社インフラへAI Gatewayを導入しているGitLab Self-Managed利用者は対応が必要です。Self-Hosted AI Gatewayは、AIモデルへ送信するリクエストやレスポンスを自社環境内で管理できる構成として提供されています。GitLabは該当する顧客に対してアドバイザリ公開前から更新を案内しており、影響を受けるGatewayを修正版へ速やかに更新するよう強く推奨しています。GitLab本体を更新しているだけではAI Gatewayが自動的に修正済みになるとは限らないため、Gateway自身のバージョン確認が重要です。
細工されたCustom Flowからサンドボックスを回避
GitLabによると、問題はCustom Flowのプロンプトテンプレート処理に存在します。Custom FlowはDuo Agent Platform上で利用者が作成するAIベースのワークフローで、複数段階のタスクを自動化するために利用されます。CVE-2026-90970では、Duo Agent Platformへアクセスできる認証済みユーザーが、特別に細工したFlow設定を作成することで、プロンプトテンプレートを処理するサンドボックスから抜け出せる可能性がありました。
サンドボックスからの脱出に成功した場合、最終的にAI Gateway上で任意のコマンドを実行できる可能性があります。GitLabが公開しているCVSSベクトルは「CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H」で、ネットワーク経由で攻撃可能、攻撃条件の複雑さが低い、低い権限を必要とする、利用者操作を必要としないという評価になっています。影響についても、機密性、完全性、可用性のすべてが「High」と評価されています。
ただし、誰でもインターネットから未認証で直接攻撃できる脆弱性ではありません。攻撃には認証されたユーザーがDuo Agent Platformへアクセスできることが必要です。また、GitLabは「特定条件下」で悪用可能と説明しているものの、その詳細な条件や必要となる具体的なユーザーロールまでは公開していません。そのため、現時点では公開されている範囲を超えて攻撃成立条件を推測しないことが重要です。
AI Gatewayの侵害は周辺システムにも影響する可能性
AI Gateway上で任意コマンドが実行できる可能性がある点は、単にAI機能が停止するだけの問題ではありません。GitLabのSelf-Hosted AI Gateway導入ガイドでは、GatewayがJSON Web Token（JWT）の署名に利用する鍵を保持することが示されており、これらは機密性の高い認証情報として扱う必要があります。また、GatewayはGitLabインスタンスや組織が利用するAIモデルプロバイダーとも通信します。
そのため、Gatewayが侵害された場合にどこまで影響が広がるかは、実際のネットワーク構成、権限、保存されている資格情報などによって異なる可能性があります。元記事では、実際の侵害後に攻撃者がJWT署名鍵を取得した事例や、GitLab本体へ横展開した事例までは報告されていません。したがって、それらを今回の脆弱性で必ず発生する影響として扱うことはできません。
一方で、AI Gatewayが複数の重要なシステムと接続する中間サービスであることを考えると、更新前のGatewayで不審な挙動が確認された場合には、Gateway単体の再構築だけで終わらせず、保持していた認証情報や外部通信、GitLabとの接続状況についても確認する必要があります。ただしGitLabのアドバイザリでは、過去にGatewayが攻撃されたかどうかを確認する具体的な方法は示されていません。
影響範囲は18.1.6以降、修正版は3系統
GitLabが公開した影響範囲では、AI Gateway 18.1.6以降で19.2.4未満のバージョン、19.3系では19.3.2未満、19.4系では19.4.1未満が脆弱とされています。修正版として公開されたのは19.2.4、19.3.2、19.4.1の3系統です。特に18.1.6から19.1系まではすべて影響範囲に含まれています。
元記事では、19.2.4より前のリリース系列に対して個別の修正版は示されていない点にも注意が必要です。GitLabのインストールガイドでは通常、AI GatewayのイメージをGitLab本体のマイナーバージョンに合わせることが推奨されていますが、19.1以前のGitLabと19.2.4のGatewayを組み合わせられるか、旧系列向けの追加修正が提供されるかについて、今回のアドバイザリでは説明されていません。
Docker構成の場合、GitLabは稼働中のコンテナを停止・削除し、新しいイメージタグを取得して起動する更新方法を案内しています。元記事では例として「self-hosted-v19.4.1-ee」が挙げられています。Helmによる構成では、チャートのimage設定に新しいタグを指定します。Self-Hosted AI GatewayはGitLab本体とは別のDockerイメージまたはHelmチャートとして導入されるため、管理者は個別にバージョンと更新状況を確認する必要があります。
現時点で悪用確認なし、ただし回避策も公開されていない
2026年10月2日時点で、GitLabの公開情報にはCVE-2026-90970が実際の攻撃で悪用されたとの記載はありません。元記事によると、米国CISAがCVEレコードへ追加した評価でも、悪用状況は「none」とされています。公開PoCや実際の悪用が確認されたという情報も、記事公開時点では示されていません。
しかし、CVSS 9.9という評価からも分かるように、成立した場合の影響は非常に大きい脆弱性です。また、更新できないGateway向けの代替的な回避策も公開されていません。そのためSelf-Hosted AI Gatewayを利用している組織では、悪用事例が確認されるまで対応を保留するのではなく、まず現在のGatewayバージョンを特定し、修正版へ更新することが現実的な対応となります。
なお、GitLab AI Gatewayでは2026年2月にも、CVE-2026-1868というCVSS 9.9の脆弱性が修正されています。この問題でも、細工されたDuo Agent PlatformのFlow定義によるテンプレート処理が原因となり、サービス拒否やGateway上でのコード実行につながる可能性がありました。両脆弱性はCWE-1336に分類されるテンプレートエンジン関連の問題ですが、今回のGitLabアドバイザリでは2月の脆弱性との直接的な関連は説明されていません。
参考文献・記事一覧
投稿者プロフィール
-
CyberCrew（サイバークルー）は、企業の情報セキュリティをトータルで支援する専門チームです。高度なスキルを持つホワイトハッカーが在籍し、サイバー攻撃の監視・検知から初動対応、リスク診断や従業員向けのセキュリティ教育まで、幅広いサービスを提供。企業のニーズに応じた柔軟な対応で、安心・安全なIT環境の実現をサポートします。
■ 情報セキュリティサービス台帳登録事業者
■ セキュリティコンテスト受賞歴
CTF国際大会 世界No.1
CEH Master Leaderboard 世界No.1
Hack The Box Rank TOP10
■ 保有セキュリティ資格
GIAC GXPN、Cisco Cybersecurity Specialist、CEH Master、CEH Practical、
Cyber Security Professional Certificate、OSCP、OSCP+、CPENT、OSWP、
eCPPT、eMAPT、CRTS、SOC-100、PEN-100、
HTB Offshore Penetration Tester（Level 3）
