Американската агенция за киберсигурност и инфраструктурна сигурност (CISA) добави критична уязвимост в GitLab, проследявана като CVE-2026-85706, към своя каталог с известни експлоатирани уязвимости (KEV), предупреждавайки, че атакуващите активно се възползват от нея.
Проблемът засяга инсталации на GitLab Community Edition и Enterprise Edition и има максимална CVSS оценка за сериозност от 10.0.
CVE-2026-85706 е уязвимост от тип обхождане на директории (path traversal) в API за комити в хранилища на GitLab. От GitLab заявяват, че при определени условия неудостоверен атакуващ може да се възползва от неправилното ограничение на пътищата и липсата на проверка за автентификация, за да прочете произволни файлове от засегнат GitLab сървър.
Уязвимостите за обхождане на директории се появяват, когато дадено приложение не успее да ограничи правилно файловите пътища, подадени чрез заявки. В този случай експлоатацията може да позволи на външен атакуващ да излезе извън предвидената структура от директории на хранилището и да поиска файлове от други места на сървъра.
Излагането на риск е особено сериозно, тъй като не изисква акаунт, потребителско взаимодействие или предишен достъп, което значително намалява пречката за интернет-базирана експлоатация.
Уязвимостта засяга GitLab CE/EE версии от 18.7 до 19.1.7, от 19.2 до 19.2.5 и от 19.3 до 19.3.1. Организациите, управляващи самостоятелни инстанции на GitLab, трябва незабавно да идентифицират изложените активи и да преминат към GitLab 19.1.8, 19.2.6, 19.3.2 или по-нова поддържана версия, в зависимост от своя клон на внедряване.
CISA добави уязвимостта към каталога KEV на 11 септември 2026 г. и постави краен срок за отстраняване до 14 септември 2026 г. за цивилните федерални агенции на изпълнителната власт.
Агенцията също така обозначи проблема като изискващ криминалистичен триаж съгласно Задължителна оперативна директива 26-04, отразявайки възможността до уязвимите системи вече да е получен достъп преди инсталирането на корекциите за сигурност.
Въпреки че CISA към момента посочва използването на зловреден софтуер за откуп (ransomware) като неизвестно, GitLab сървърите са високостойностни цели, тъй като могат да приютяват патентован изходен код, CI/CD конфигурации, токени за достъп, скриптове за внедряване и други чувствителни данни за разработка.
Разкриването на произволни файлове може също да помогне на киберпрестъпниците да идентифицират идентификационни данни, тайни, детайли за конфигурацията и друга информация, полезна за последващи действия по проникване.
Екипите по сигурност трябва приоритетно да инсталират корекции за сигурност на достъпните през интернет среди на GitLab, да прегледат логовете на GitLab и reverse-proxy за необичайни заявки към API за комити в хранилищата и да разследват неочаквани модели на достъп до файлове. Екипите трябва също да подменят потенциално компрометирани идентификационни данни, токени и тайни след оценка на обхвата на евентуалния пробив.
От GitLab изразиха признателност на изследователя по сигурност s3ntago за съобщаването за уязвимостта чрез тяхната програма за възнаграждение за открити бъгове в HackerOne. Слабостта е свързана с CWE-35 — категория, покриваща неправилното ограничаване на достъпа до файлови пътища, което може да позволи на атакуващите да достъпват файлове извън предвидената ограничена директория.