Разработчики GitLab выпустили срочные патчи для Community Edition (CE) и Enterprise Edition (EE), устраняющие критическую уязвимость CVE-2026-19478 (9,4 балла по шкале CVSS). Этот баг позволял неаутентифицированному атакующему при определенных условиях удаленно изменять или удалять публичные проекты, а также пользовательские данные.
Как объясняют в GitLab, уязвимость была связана с одной из директив GraphQL, однако ее название и точные условия, необходимые для успешной эксплуатации, пока не раскрываются. Зато известно, что атаку можно было провести удаленно, и для эксплуатации бага не требовались ни учетные данные, ни действия со стороны жертвы.
Сообщается, что CVE-2026-19478 затрагивает все версии GitLab с 18.2 до 18.11.11, ветку 19.0 до 19.0.8, 19.1 до 19.1.6 и 19.2 до 19.2.4. Исправления вошли в состав GitLab 19.2.4, 19.1.6, 19.0.8 и 18.11.11.
Установить обновления необходимо только операторам self-managed инстансов, и в GitLab настоятельно рекомендуют администраторам как можно скорее перейти на один из исправленных релизов. При этом GitLab.com и GitLab Dedicated уже обновили до исправленных версий, и их пользователям не нужно предпринимать никаких дополнительных действий.
Также разработчики закрыли еще одну GraphQL-уязвимость — CVE-2026-19650, получившую 7,1 балла по шкале CVSS. Этот CSRF-баг был обнаружен в обработчике multiplex-запросов GraphQL. Из-за некорректной проверки запросов неаутентифицированный атакующий при определенных условиях мог выполнять GraphQL-мутации через GET-запросы. Однако, в отличие от CVE-2026-19478, для эксплуатации этой проблемы требовалось взаимодействие с пользователем.
Обе уязвимости были обнаружены в рамках bug bounty-программы GitLab на HackerOne, и технические подробности о них станут доступны позднее. Обычно разработчики GitLab публикуют связанные с багами тикеты через 90 дней после выхода исправлений, поэтому детальное описание уязвимостей обнародуют примерно в середине ноября 2026 года.
