Специалисты компании watchTowr сообщили, что хакеры начали использовать в реальных атаках критическую уязвимость CVE-2026-19478 в GitLab, причем это произошло всего через несколько дней после раскрытия информации о баге.
На прошлой неделе разработчики GitLab выпустили срочные патчи для Community Edition (CE) и Enterprise Edition (EE), устраняющие CVE-2026-19478, получившую 9,4 балла по шкале CVSS.
Уязвимость связана с одной из директив GraphQL и позволяет неаутентифицированному атакующему при определенных условиях удаленно изменять и удалять публичные проекты, а также переписывать связанные данные. При этом для реализации атаки не требуются учетные данные и взаимодействие с пользователем.
Сообщалось, что проблема затрагивает GitLab версий от 18.2 до 18.11.11, а также версии 19.0 до 19.0.8, 19.1 до 19.1.6 и 19.2 до 19.2.4. Исправления вошли в состав GitLab 19.2.4, 19.1.6, 19.0.8 и 18.11.11.
Как теперь предупреждают эксперты watchTowr, современные инструменты с поддержкой ИИ резко сокращают временной промежуток между раскрытием информации об уязвимостях и первыми атаками:
«Это новая реальность: с помощью ИИ атакующие могут резко сократить время между публикацией информации об уязвимостях и началом атак, поэтому ждать следующего цикла обновлений зачастую уже слишком поздно».
Специалисты отмечают, что последствия эксплуатации CVE-2026-19478 не ограничиваются только изменением или удалением отдельных публичных проектов. Также злоумышленник может уничтожить целые репозитории или подделать историю слияний таким образом, будто нужное исправление уже внесено, и даже заблокировать мейнтейнеров проекта.
Администраторам, которые еще не установили патчи, рекомендуют проверить логи на предмет запросов, содержащих строку @gl_introduced, а также искать признаки сканирований или попыток эксплуатации свежей проблемы.
В первую очередь установить обновления рекомендуется операторам доступных из интернета self-managed инстансов GitLab. Если же немедленно обновиться по каким-то причинам невозможно, исследователи советуют временно ограничить неаутентифицированный доступ к /api/graphql или полностью закрыть публичный доступ к репозиториям.
