Инженеры GitLab выпустили патчи для критической уязвимости CVE-2026-85706, получившей максимальные 10 баллов по шкале CVSS и позволяющей неаутентифицированному атакующему читать произвольные файлы на сервере. ИБ-специалисты предупреждают, что вскоре после раскрытия информации об уязвимости злоумышленники начали предпринимать попытки ее эксплуатации.
CVE-2026-85706 представляет собой уязвимость типа path traversal в API коммитов репозитория. В GitLab объясняют, что проблема связана с некорректным ограничением путей, а также с отсутствующей проверкой аутентификации.
Проблема затрагивает GitLab Community Edition (CE) и Enterprise Edition (EE): все версии, начиная с 18.7 и до 19.1.7 включительно, а также версии 19.2–19.2.5 и 19.3–19.3.1.
Для эксплуатации нового бага злоумышленнику не понадобятся учетные данные. По данным компании watchTowr, достаточно, чтобы на уязвимом инстансе существовал хотя бы один публичный проект. В случае успешной атаки хакер сможет прочитать логи и конфигурационные файлы GitLab, в которых могут храниться учетные данные, токены, секреты и другая конфиденциальная информация.
Исследователи предупреждают, что фиксируют попытки сканирований уязвимых серверов с 11 сентября 2026 года, причем первые попытки эксплуатации начались спустя считанные часы после публичного раскрытия бага. По мнению экспертов, переход к массовой эксплуатации уязвимости может произойти очень быстро.
Следует отметить, что одновременно с патчем для CVE-2026-85706 разработчики выпустили исправления для еще одной критической проблемы — CVE-2026-87719, получившей 9,9 балла по шкале CVSS.
Этот баг затрагивает только GitLab EE и связан с небезопасной десериализацией в обработчике GraphQL-подписок. Аутентифицированный пользователь с доступом к Duo Chat может получить настройки Advanced Search и учетные данные с помощью специально подготовленного аргумента.
Обе уязвимости устранены в GitLab 19.3.2, 19.2.6 и 19.1.8. Также отмечается, что GitLab.com уже работает на исправленной версии, а от пользователей GitLab Dedicated не требуется никаких дополнительных действий.
Администраторам self-managed-инстансов, особенно доступных из интернета, рекомендуется установить патчи как можно скорее. Если обновиться пока невозможно, стоит ограничить публичный доступ к инстансу, а также проверить логи на предмет подозрительных POST-запросов к /api/v4/projects/{id}/repository/commits/ с параметрами file.path, которые могут указывать на попытки эксплуатации.
