GitLabのDuo ClaudeエージェントはCI内で任意のコマンドを実行できる可能性があった。実際に悪用された事例はまだ示されていない。

GitLabは2026年8月26日、Duo Claude AIエージェントにおける深刻度の高い脆弱性に対応する修正リリースを提供した。同エージェントは、GitLabのアドバイザリがCIコンテキストに位置付けるClaudeベースのエージェントである。CVE-2026-18252として追跡されているこのバグは、Developerロールを持つ認証済みユーザーがCIジョブ内で任意のコマンドを実行できるようにした。これは、エージェントがユーザーが制御するソースからの設定を、その出所を検証せずに処理したためである。GitLabはCVSS 3.1スケールでこれを7.3と評価し、影響範囲をGitLab Enterprise Editionに限定した。対象はバージョン18.9から19.1.7未満、19.2から19.2.5まで、および19.3から19.3.1までである。GitLab.comではすでに修正済みコードが稼働しており、GitLab Dedicatedの顧客には何も対応する必要がないと伝えられた。この記事で確認したどの情報源も、誰かがこれを悪用したとは報じていない。また、公開情報源では概念実証（PoC）は公開されていない。このインシデントに関するアーカイブ自体の項目は、その深刻度と信頼度の格付けとともに、Orca AI Incident Archiveにあり、同じ週の隣接する記録と並んでいる。

勧告が述べていること、そして触れていないこと

主要文書は短い。同日に公開されたGitLabの19.3.1、19.2.5、19.1.7向けパッチリリースノートには、7件のセキュリティ修正が列挙されている。最初の項目はHighと記され、「Duo Claude AI agentにおける信頼できない制御領域からの機能の包含に関する問題がGitLab EEに影響する」という見出しで、その説明文は一文だけである。GitLabによれば、同社は「ユーザーが制御するソースからの設定をClaude agentが処理したことにより、特定の条件下で、開発者ロールの権限を持つ認証済みユーザーがCIコンテキスト内で任意のコマンドを実行できた可能性がある問題」を修正した。ベンダーが公開した技術的説明はこれで全部である。

GitLab 自身が割り当てた CVE レコードは、実質ではなく構造を加えるものだ。弱点を CWE-829 に分類し、影響範囲と CVSS 7.3 のスコアを繰り返し、識別子が 2026年7月29日に予約され、8月26日13:36 UTC に公開されたことを記録している。GitLab がクレジットしているバグバウンティ報告である HackerOne レポート 3863650 は、2026年10月29日の未認証での取得に対して 403 を返したため、その技術的詳細は公開されていない。また、CVE レコードが参照としてリンクしているトラッカー項目 — gitlab-org/gitlab のワークアイテム 607342 — には、その確認時点で読めるイシュー内容が含まれていなかった。

アドバイザリが述べていないのは、防御側が知りたい部分だ。関与するDuo機能、エージェントが読み取る設定フィールド、ユーザー制御のソースが取る形態——それがリポジトリファイルなのか、パイプライン変数なのか、イシューやマージリクエストのコメントなのか、APIパラメータなのか——を明示していない。これらのいずれも、GitLabの注記、CVEレコード、本記事のために確認した業界報道のいずれにも記載されていない。GitLabの製品ドキュメントは、ClaudeがCIに至る一つの経路を確かに説明している。それは外部エージェントで、ドキュメントによればイシュー、エピック、マージリクエストで言及されるとCI/CDパイプラインを実行し、これについてはClaude Codeの設定例も存在する。確認した限りでは、その経路をCVE-2026-18252に関連付けるものは何もない。これはClaudeエージェントがそもそもなぜCI権限を持つのかの背景であって、バグの仕組みではない。

同じ文書は、そのリスク分類についても率直に述べている。GitLabの外部エージェントのページでは、プロンプトインジェクションの脆弱性が、機能を有効化することで顧客が受け入れるリスクの一つとして挙げられており、緩和策として実装しているサードパーティのプロンプトスキャンについて説明されている。そのページはCVE-2026-18252に言及しておらず、またその警告はこの脆弱性を説明したものではない。しかし、パイプラインへのアクセス権を持つエージェントに信頼できない入力が到達することが、GitLab自身の文書ですでに顧客に受け入れを求めているリスクであることは確かに示している。

CIコンテキストは、認証情報が存在する場所です。

重大性を担っている表現は「CIの文脈において」だ。パイプラインジョブはおもちゃのサンドボックスではない。ランナートークンと、プロジェクトがそれに公開したあらゆるシークレットを使って実行される。2026年8月27日にパッチを報じたCyber Security Newsは、こうしたジョブが通常到達できるものとして、ソースコード、ビルド成果物、デプロイ認証情報、クラウドトークン、パッケージリポジトリの認証情報を列挙し、パイプライン内でのコマンド実行は、ランナーの設定とトークンのスコープに応じて、CI変数を露呈させ、ビルド成果物を改変し、リリースワークフローを改ざんし、あるいは接続されたインフラへさらに到達する可能性があると指摘している。同日のGBHackersの記事も同じ枠組みを用いている。どちらの媒体も、それが実際に起きた事例は報じていない。

その区別が、この欠陥をどう読むべきかを左右する。これはエージェント型コンポーネントにおけるコマンド実行バグであり、モデルが誤動作したことの実証ではない。記録が述べているのは、ユーザー制御下のソースから取得された設定と、それに基づいて動作するエージェントである。レビューしたどの情報源も、この悪用をプロンプトインジェクションの成功として説明しておらず、GitLabのアドバイザリも、その結果をモデルの判断に帰することは決してしていない。記録された弱点は、信頼すべきでない設定ソースを信頼するコードである — CWE-829、信頼できない制御圏からの機能の包含である。

2つのCVSSスコアと1つのインタラクションステップ

GitLab の 7.3 は、この識別子に付された唯一のスコアではない。同じ NVD レコードでは、NIST の主要評価は 8.1 である。2 つのベクトルは 1 つの構成要素を除いて同一だ。GitLab はユーザー操作を必須とし、NIST はそうしない。どちらのスコアも High 帯に位置するため、実際上の違いは深刻度よりも、このバグが発火する条件にある。フランス保健省のコンピューター緊急対応チームである CERT Santé は、2026 年 8 月 27 日に、GitLab の解釈に従った警報を公開した。すなわち 7.3、ユーザー操作必須、そして構成処理を引き起こす操作として記述されたトリガーである。

悪用のシグナルは静かであり、そのいずれもがテレメトリではなく記録の読み取りにすぎない。CISA のコーディネーター役割が 2026年8月26日に NVD エントリへ保存した SSVC 評価では、悪用を「none」、自動化可能を「no」、技術的影響を「total」と記録している。FIRST の EPSS モデルは、2026年10月28日時点で悪用の確率を 0.00519（半分をわずかに上回る程度）とし、スコアリング対象の脆弱性の 44 パーセンタイルに位置づけた。OpenCVE の記録は同じ EPSS 値を掲載し、その CVE を CISA の Known Exploited Vulnerabilities カタログに含まれないものとしてリストしている。CERT Santé のアラートは「actively exploited: no」と記録し、その日付時点で公開ソースに概念実証（PoC）が存在しなかったことを付記している。これはいずれも、誰も試みなかったことの証拠ではない。記録された試みが一切ないことを示すものにすぎない。

少なくとも1つのアグリゲーター、Malloryが、同じ識別子に対して8.7のスコアを出回らせている。NVDのレコードにはCVSS 4.0のメトリクスがまったく含まれておらず、GitLabの7.3とNISTの8.1のみである。そのため、その数値は確認した一次情報源のいずれからも再現できず、ここでは使用していない。

何が確立されており、何が確立されていないのか

アーカイブはこの項目を信頼度A、争われておらず、実際の害は記録されていないと格付けしている。この格付けはここで実際に重要な役割を果たす。各文書は互いに一致しており、そのいずれも害を記述していない。以下の分割は、一行の要約では伝えられない部分である。

• 確認済み:Duo Claude AI エージェントの脆弱性により、認証済みの Developer ロールが CI コンテキストで任意のコマンドを実行できるようになりました。これは、エージェントがユーザー制御のソースから設定を処理したためです。GitLab は CWE-829 と CVSS 7.3 を割り当てました。

• 確定: 影響範囲と修正 — 18.9～19.1.7、19.2～19.2.5、19.3～19.3.1、2026年8月26日に19.1.7、19.2.5、19.3.1で修正済み。この脆弱性はGitLab EEに対して記録されています。同じリリースでは、別の脆弱性に対してCEも修正されました。

• 確認済み: GitLab の HackerOne プログラムを通じた thwin_htet への報告者クレジットの付与、および GitLab が顧客に伝えた運用状況 — GitLab.com はすでにパッチ適用済み、GitLab Dedicated は必要な対応の対象外、セルフマネージドインストールには直ちにアップグレードするよう指示。

• 確認済み: 悪用は報告されていません。CISAのSSVC評価では「なし」とされており、EPSSは2026年10月下旬まで1%未満にとどまりました。OpenCVEによると、このCVEはKEVカタログに含まれていません。CERT Santéは公表翌日、能動的な悪用を記録しませんでした。

• ベンダー未確認の帰属情報：影響の説明 — シークレットは読み取り可能、成果物は改変可能、リリースは改ざん可能 — は、CIジョブのトークンスコープが一般に許可する内容についての報道の説明であり、今回それが実際に起きたという認定ではありません。Cyber Security News と GBHackers はいずれも「could」と「depending on」という表現を用いており、どちらも発生事例は報じていません。

• 未確認:どのDuo機能とどの設定フィールドが関係していたのか、またユーザーが制御できた送信元が実際に何であったのかは、明らかになっていません。ベンダーの声明ではそれらは特定されていません。

• 未確認：影響を受けた範囲に存在していたセルフマネージドEnterpriseインストールが何件あったか、2026年8月26日以降にアップグレードしたものが何件あったか、またいずれかが攻撃されたかどうか。レビューしたどの情報源も導入状況を測定しておらず、ベンダーは後からパッチを適用したインスタンス向けの検出方法を公開していない。

• 未確立: 技術的メカニズム。GitLabの90日ルールにより、このイシューは2026年11月下旬頃に公開されます。それまでは、リンクされたトラッカー項目は、まだ公に存在しない説明へのポインタにすぎません。

修正、ダウンタイム、そして90日間の待機

GitLabは2026年8月26日、Community EditionとEnterprise Editionの両方に向けて19.3.1、19.2.5、19.1.7をリリースし、すべてのセルフマネージドインストールを直ちにこれらのバージョンのいずれかにアップグレードすることを強く推奨すると述べました。このリリースのCommunity Editionの部分が重要である理由は、同じバッチに含まれる別の脆弱性、すなわちインポートパイプラインにおけるサービス拒否（DoS）の問題で深刻度6.5と評価されたCVE-2026-77801が、EEだけでなくCEにも影響するためです。CVE-2026-18252自体はEnterprise Editionのみに対して記録されています。

ベンダーによる回避策はありません。CERT Santé の警告には回避策が存在しないことが記録されており、GitLab の注記にも回避策は示されていません。明記されている唯一の対処法はアップグレードです。また、このリリースは単純に差し替えるだけで済むものでもありません。3つのバージョンすべてに通常のデータベースマイグレーションが含まれ、19.3.1 と 19.2.5 にはデプロイ後のマイグレーションも含まれています。GitLab によると、シングルノード構成ではマイグレーションの完了までダウンタイムが発生します。マルチノード構成では、GitLab のゼロダウンタイムアップグレード手順を利用できます。

残りの6件の修正にも目を通す価値がある。そのうち1件はこの項目のテーマに近いからだ。CVE-2026-15387は4.3と評価され、同じ3つのバージョンで修正された。この脆弱性により、開発者ロールの権限を持つ認証済みユーザーが、ジョブ依存関係の不適切な処理を通じてPipeline Execution Policy適用ジョブの実行環境に影響を与えられる可能性があった。ジョブ実行に至る開発者ロールの経路2件（1件はHigh、1件はMedium）が同じパッチで塞がれた。

GitLabの情報開示ポリシーは、なぜこの仕組みが不透明なままなのかを説明している。そのパッチノートには、各脆弱性を詳述する課題が、修正が適用されたリリースから90日後にイシュートラッカー上で公開されると記されている。2026年8月26日から数えると、CVE-2026-18252の技術的解説が公開されるのは2026年11月の最終週となる。それまでは、CVEレコード内のトラッカー参照の背後に、本記事が読むことのできる公開技術解説は存在しない。

これがGitLabの他のエージェント不具合と並べてどこに位置づけられるか

GitLabは2026年10月2日に、エージェント関連の2件目となる別個の脆弱性を公表しました。CVE-2026-90970で、評価は9.9、Duo Claude AIエージェントではなくAI Gatewayに存在し、CI設定ではなく細工されたフロープロンプトテンプレートを通じて到達可能です。この2件は、異なるコンポーネントに存在する異なるスコアの別々のバグであり、アーカイブでは別々のエントリとして保持されています。共通するのはその形 — 配信経路にあるAIコンポーネントが、低い権限のユーザーが影響を与えられる設定に基づいて動作する — であり、だからこそ10月のものは、これの代わりではなく、これと併せて読む価値があります。

運用担当者にとって、判断の幅は狭い。バージョンを確認することだ。19.1.7、19.2.5、19.3.1が修正版であり、挙げられた3つの範囲にあるものはすべて影響を受ける。その間に対処するための回避策はなく、11月下旬まで、後からパッチを適用したインスタンスを照合するための技術的説明は公開されていない。存在するのは、誰も悪用を報告していないという記録だけであり、それは証拠がないという事実を述べたものであって、侵害が起きなかったことをベンダーが保証するものではない。