GitLab CE/EE: path traversal critică CVE-2026-85706 exploatată

📌 Evoluții ulterioare: GitLab CVE-2026-110264: și injecție LDAP și request smuggling (22 octombrie 2026) · GitLab 19.5.1: nouă RCE fără autentificare, CVE-2026-110264 (22 octombrie 2026) · GitLab CVE-2026-97229: Rapid7 reproduce RCE, e nevoie de 19.3.5 (12 octombrie 2026) · GitLab 19.4.2: RCE critică CVE-2026-97229 în regex CI/CD (12 octombrie 2026)

Pe 11 septembrie 2026, CISA a inclus în catalogul Known Exploited Vulnerabilities (KEV) vulnerabilitatea CVE-2026-85706, o vulnerabilitate de tip path traversal din GitLab Community Edition (CE) și Enterprise Edition (EE): este deci deja exploatată în atacuri reale. GitLab a publicat actualizări de securitate care corectează aceasta și alte vulnerabilități. Potrivit avizului CERT-SE, două dintre ele sunt critice: CVE-2026-85706, cu un scor CVSS de 10.0, și CVE-2026-87719, cu un scor CVSS de 9.9.

Pe 6 octombrie, CERT-SE și-a actualizat avizul cu indicațiile de detecție publicate de GitLab. Pe 8 octombrie, BSI/CERT-Bund din Germania și-a actualizat avizul WID-SEC-2026-1010 privind vulnerabilitățile din GitLab CE/EE, cu gravitate ridicată.

Ce s-a întâmplat

CVE-2026-85706 este o eroare de tip path traversal. Potrivit CERT-SE, un atacator neautentificat care o exploatează poate citi fișiere arbitrare de pe serverul GitLab. Nu sunt necesare credențiale: este suficient ca instanța să fie accesibilă. Catalogul KEV al CISA cuprinde vulnerabilitățile a căror exploatare este dovedită.

CVE-2026-87719 afectează doar ediția Enterprise și necesită acces. Potrivit CERT-SE, un utilizator autentificat cu acces la Duo Chat poate ajunge la configurații și date sensibile.

Detalii tehnice

• CVE-2026-85706: CVSS 10.0, path traversal în GitLab CE și EE; citirea de fișiere arbitrare de pe server fără autentificare.
• Versiuni afectate (CVE-2026-85706): toate versiunile de la 18.7 anterioare versiunii 19.1.8, 19.2 anterioare versiunii 19.2.6 și 19.3 anterioare versiunii 19.3.2.
• CVE-2026-87719: CVSS 9.9, doar GitLab EE; necesită un utilizator autentificat cu acces la Duo Chat, care poate obține configurații și date sensibile.
• Versiuni afectate (CVE-2026-87719): GitLab EE, toate versiunile de la 18.3 anterioare versiunii 19.1.8, 19.2 anterioare versiunii 19.2.6 și 19.3 anterioare versiunii 19.3.2.
• Versiuni corectate: 19.1.8, 19.2.6 și 19.3.2, publicate de GitLab prin patch release 19.3.2.
• Exploatare: confirmată de CISA pentru CVE-2026-85706. Potrivit CISA, folosirea în campanii ransomware nu este cunoscută deocamdată; termenul stabilit pentru agențiile federale americane era 14 septembrie. Sursele nu semnalează exploatarea CVE-2026-87719.
• MITRE ATT&CK: exploatarea unui serviciu expus fără autentificare corespunde tehnicii T1190 (Exploit Public-Facing Application).

Indicatori și detecție

În actualizarea din 6 octombrie, CERT-SE semnalează informațiile suplimentare publicate de GitLab:

• reguli de detecție pentru încercările de includere a fișierelor locale: citirea fișierului de configurare gitlab.yml, accesul la calea metadatelor și enumerarea căilor;
• un articol de suport care explică cum verifici dacă un fișier a fost cu adevărat exfiltrat prin CVE-2026-85706, folosind octeții scriși de componenta Workhorse a GitLab.

Pentru indicatori, CERT-SE trimite și la analiza tehnică publicată de watchTowr.

Un aviz separat: GitLab AI Gateway

Pe 5 octombrie, CERT-FR a publicat avizul CERTFR-2026-AVI-1262 despre o vulnerabilitate diferită, CVE-2026-90970, care afectează GitLab AI Gateway. CERT-FR indică drept risc executarea de cod arbitrar de la distanță și trimite la buletinul GitLab din 2 octombrie pentru corecții. Versiuni afectate potrivit CERT-FR:

• AI Gateway 19.3.x anterioare versiunii 19.3.2;
• AI Gateway 19.4.x anterioare versiunii 19.4.1;
• AI Gateway de la 18.1.6 și anterioare versiunii 19.2.4.

Avizul nu descrie vectorul de atac și nici condițiile de exploatare.

Impactul pentru companiile europene și italiene

Un server GitLab conține de obicei cod sursă, configurațiile pipeline-urilor și credențiale pentru integrări. O vulnerabilitate care permite citirea fișierelor sale fără autentificare, și care este deja exploatată, trebuie tratată ca urgentă, mai ales dacă instanța este expusă pe Internet, după cum subliniază CERT-SE.

Pentru entitățile care intră sub incidența NIS2, gestionarea vulnerabilităților și securitatea lanțului de aprovizionare cu software fac parte din măsurile cerute. O citire neautorizată a fișierelor cu date sau credențiale este un incident care trebuie evaluat în vederea notificării către CSIRT-ul național, care în Italia este CSIRT Italia al ACN.

Ce să faci acum

1. Inventar: identifică toate instanțele GitLab, cu ediția (CE sau EE) și versiunea, și verifică pe care le poți accesa din Internet.
2. Actualizează: adu fiecare instanță la 19.1.8, 19.2.6 sau 19.3.2, ori la versiuni ulterioare, începând cu cele expuse. CISA cere aplicarea măsurilor de atenuare indicate de producător sau, dacă nu sunt disponibile, renunțarea la folosirea produsului.
3. Analizează jurnalele: CERT-SE recomandă examinarea lor pentru a identifica eventuale intruziuni. Folosește regulile de detecție ale GitLab și, pentru fiecare încercare găsită, verifică cu articolul de suport dacă fișierul a fost cu adevărat exfiltrat.
4. Dacă găsești o exfiltrare: consideră expuse datele și credențialele din fișierele citite, înlocuiește secretele și evaluează obligațiile de notificare care se aplică organizației tale.
5. AI Gateway: dacă îl folosești, consultă buletinul GitLab din 2 octombrie și actualizează-l la o versiune corectată.

Cum ajută ARXDOME

ARX Expose arată ce servicii expune compania ta pe Internet, ce produse sunt recunoscute pe ele și care au vulnerabilități cunoscute: te ajută să afli dacă o instanță GitLab este accesibilă din exterior. ARX Shield enumeră vulnerabilitățile deschise de pe mașinile monitorizate și le scoate în evidență pe cele deja exploatate de atacatori. ARX Sentry colectează jurnale și evenimente de pe serverele pe care este instalat agentul și verifică integritatea fișierelor din folderele alese. Cu ARX Horizon poți consulta din portal detaliile vulnerabilităților și poți căuta indicatori de compromitere.

Ultima actualizare: 8 octombrie 2026