開発・運用の基盤（GitLab・Jenkins・Zabbix）の脆弱性を、ヒューマンハッカーの取得データから集計しています。直近30日の公表・更新は31件、この1年に悪用が確認された件は15件です。
このページの要点
- 件数が多い製品はAdobe ColdFusion・code.vikunja.io/api・TeamCityです。
- 悪用確認の最新は2026-10-29のCommunity Edition and Enterprise Edition（CVE-2026-97229）です。
- 保守終了日はGitLab・Jenkins・Apache Tomcat・Zabbixを載せています。
01今確かめたい開発・運用の基盤の脆弱性
悪用が確認された件（1年分）と、直近30日の深刻度「緊急」の件です。番号を押すと、一覧で詳しく確かめられます。
| 公表・更新 | 製品 | 内容 | 状態 |
|---|---|---|---|
| 2026-10-29 | Community Edition and Enterprise Edition | GitLab Community Edition / Enterprise Editionに整数オーバーフローがあり、CI/CD設定内の細工した正規表現により、未認証の攻撃者がサーバー上で任意のコードを実行できる。悪用が確認されている。CVE-2026-97229 | 悪用確認 |
| 2026-09-11 | Artifactory | JFrog Artifactoryの不適切な認可。トークン署名の検証チェックに起因して権限昇格攻撃が可能となる恐れがあり、悪用が確認されている。CVE-2026-42016 | 悪用確認 |
| 2026-09-11 | Artifactory | JFrog Artifactoryの不適切な認証。匿名アクセス有効時に認証なしの呼び出し元へ内部の匿名ユーザートークンが返される恐れがあり、悪用が確認されている。CVE-2026-42018 | 悪用確認 |
| 2026-09-11 | Community Edition and Enterprise Edition | GitLab Community/Enterprise Editionのパストラバーサル脆弱性。認証なしのユーザーが任意のファイルを読み取れる恐れがあり、悪用が確認されている。CVE-2026-85706 | 悪用確認 |
| 2026-09-02 | Artifactory | JFrog Artifactoryの不適切な認証の脆弱性。既定設定ではネットワーク経由で認証なしの攻撃者が影響を及ぼせる恐れがあり、悪用が確認されている。CVE-2026-82329 | 悪用確認 |
| 2026-08-27 | Artifactory | JFrog Artifactoryのパス名制限の不備。認証済みユーザーが制限ディレクトリ外へデータを書き込める恐れがあり、悪用が確認されている。CVE-2026-66384 | 悪用確認 |
| 2026-10-19 | Adobe ColdFusion | アドビのAdobe ColdFusionにおけるコードインジェクションの脆弱性CVE-2026-105903 | 緊急 |
| 2026-10-19 | Adobe ColdFusion | アドビのAdobe ColdFusionにおける不正な認証に関する脆弱性CVE-2026-106612 | 緊急 |
02開発・運用の基盤の保守終了（EOL）
保守が終わった系列には、脆弱性が見つかっても修正版が出ません。使っている系列の保守終了日を確かめ、終了が近ければ入れ替えの予定を立てます。日付は endoflife.date の取得データ（2026-11-02時点）で、提供元の公式の情報で確かめてください。
GitLab
| 系列 | 保守終了日 | 状態 | 最新版 |
|---|---|---|---|
| 19.5 | 2027-01-21 | 残り80日 | 19.5.3 |
| 19.4 | 2026-12-17 | 残り45日 | 19.4.5 |
| 19.3 | 2026-11-19 | 残り17日 | 19.3.7 |
| 19.2 | 2026-10-15 | 保守終了 | 19.2.10 |
| 19.1 | 2026-09-17 | 保守終了 | 19.1.10 |
| 19.0 | 2026-08-20 | 保守終了 | 19.0.11 |
Jenkins
| 系列 | 保守終了日 | 状態 | 最新版 |
|---|---|---|---|
| 2 | — | 終了日の発表なし | 2.588 |
| 2.568 | — | 終了日の発表なし | 2.568.3 |
| 2.555 | 2026-06-10 | 保守終了 | 2.555.3 |
| 2.541 | 2026-04-15 | 保守終了 | 2.541.3 |
| 2.528 | 2026-01-21 | 保守終了 | 2.528.3 |
| 2.516 | 2025-10-15 | 保守終了 | 2.516.3 |
Apache Tomcat
| 系列 | 保守終了日 | 状態 | 最新版 |
|---|---|---|---|
| 11.0 | — | 終了日の発表なし | 11.0.27 |
| 10.1 | — | 終了日の発表なし | 10.1.61 |
| 10.0 | 2022-10-31 | 保守終了 | 10.0.27 |
| 9.0 | 2027-03-31 | 残り149日 | 9.0.123 |
| 8.5 | 2024-03-31 | 保守終了 | 8.5.100 |
| 8.0 | 2018-06-30 | 保守終了 | 8.0.53 |
Zabbix
| 系列 | 保守終了日 | 状態 | 最新版 |
|---|---|---|---|
| 7.4 | 2027-03-31 | 残り149日 | 7.4.16 |
| 7.2 | 2025-12-31 | 保守終了 | 7.2.15 |
| 7.0 | 2029-06-30 | 残り971日 | 7.0.32 |
| 6.4 | 2024-12-31 | 保守終了 | 6.4.21 |
| 6.2 | 2023-02-28 | 保守終了 | 6.2.9 |
| 6.0 | 2027-02-28 | 残り118日 | 6.0.49 |
03外から見えているかを確かめる
開発・運用の基盤のうち、社外から届く場所に置いた物は、脆弱性が出たときに真っ先に狙われます。どの製品を、どの名前とIPアドレスで外に出しているかを一覧にしておくと、公表の日にすぐ対象かを判断できます。保守を委託している機器も含めます。
