GitLab пусна корекции за сигурност, за да отстрани множество проблеми, включително критична уязвимост от максимална степен на опасност, за която са регистрирани опити за сканиране в реални условия само няколко часа след нейното публично оповестяване.

Въпросната уязвимост е CVE-2026-85706 (оценка по CVSS: 10.0) – проблем от тип обхождане на директории (path traversal) в API за комити в хранилището, който при определени условия може да позволи на неудостоверен потребител да чете произволни файлове от сървъра на GitLab.

Според GitLab проблемът произтича от „неправилно ограничаване на пътя и липса на прилагане на автентикация в API за комити в хранилището“.

Проблемът засяга следните версии на GitLab Community Edition (CE) и Enterprise Edition (EE):

  • Всички версии от 18.7 преди 19.1.8,
  • Всички версии от 19.2 преди 19.2.6 и
  • Всички версии от 19.3 преди 19.3.2

Според компанията за управление на експозицията watchTowr уязвимостта вече е обект на активни опити за сканиране и експлоатация в реални условия от 06:00 UTC на 11 септември 2026 г. Според тях проблемът позволява на външен атакуващ да чете логове и специфични за GitLab конфигурационни файлове, за да придобие идентификационни данни, секрети и чувствителна информация.

„Това е вторият случай на уязвимост с критична тежест в GitLab през последните седмици, след предишната GraphQL инжекция на код (CVE-2026-19478), която започна да се експлоатира почти веднага“, заяви Джейк Нот, ръководител на анализа на заплахите в watchTowr, в изявление пред The Hacker News. „Експлоатацията изисква само едно условие – да съществува поне един публичен проект.“

„Привлекателността на GitLab за атакуващите е очевидна, тъй като неоторизираният достъп позволява на киберпрестъпника да получи достъп до изходния код, CI/CD секрети, пароли и възможност за инжектиране на код в build пайплайните. По този начин се придобива достъп или се отравят всички последващи системи по веригата, което, както видяхме през тази година, е любим похват на злонамерените субекти.“

Също така коригирана от GitLab във версии 19.3.2, 19.2.6 и 19.1.8 е критична грешка, свързана с незащитена десериализация в GitLab EE (CVE-2026-87719, оценка по CVSS: 9.9), която може да доведе до разкриване на информация.

„Уязвимостта може да позволи на удостоверен потребител с достъп до Duo Chat да получи конфигурации на инстанции на Advanced Search и чувствителни идентификационни данни чрез използване на специално конструиран аргумент за GraphQL абонамент за заобикаляне на сериализацията и търсене на обекти на сървъра“, заявиха от GitLab.

Организациите, използващи самостоятелно управлявани (self-managed) инстанции на GitLab, които са достъпни през интернет, трябва незабавно да инсталират корекциите за сигурност или да ограничат публичния достъп, ако той не е необходим.

„Въз основа на историята преходът на тази уязвимост към недискриминационна масова експлоатация най-вероятно не е далеч и специалистите по защита разполагат с ограничено време за реакция“, каза Нот. „Където е възможно, организациите трябва да прегледат дневниците (логовете) за HTTP POST заявки към URI '/api/v4/projects/{id}/repository/commits/', съдържащи параметри 'file.Path', за да идентифицират евентуални опити за експлоатация.“