Уязвимость GitLab CVE-2026-85706 активно эксплуатируется злоумышленниками
Материал подготовлен искусственным интеллектом на основе нескольких источников — ссылки на оригиналы приведены ниже.
Критическая уязвимость обхода пути в GitLab, CVE-2026-85706, активно эксплуатируется, позволяя неаутентифицированным злоумышленникам читать произвольные файлы с self-managed инстансов. Уязвимость затрагивает версии GitLab CE/EE с 18.7 по 19.3.1 и имеет оценку CVSS 10.0. GitLab выпустила исправление 11 сентября, и CISA добавила уязвимость в каталог известных эксплуатируемых уязвимостей.
Ключевые факты
- CVE-2026-85706 — критическая уязвимость обхода пути в GitLab с оценкой CVSS 10.0.
- Уязвимость затрагивает версии GitLab CE/EE с 18.7 по 19.1.7, с 19.2 по 19.2.5 и с 19.3 по 19.3.1.
- GitLab выпустила исправление 11 сентября 2026 года.
- CISA добавила CVE-2026-85706 в каталог известных эксплуатируемых уязвимостей.
- Для эксплуатации требуется наличие хотя бы одного публичного проекта в инстансе GitLab.
Детали уязвимости
CVE-2026-85706 — уязвимость обхода пути в API коммитов репозитория GitLab, позволяющая неаутентифицированным удалённым злоумышленникам читать произвольные файлы с сервера. Уязвимость вызвана неправильным ограничением пути и отсутствием обязательной аутентификации в API коммитов репозитория. Уязвимость затрагивает все версии GitLab CE/EE с 18.7 по 19.1.7, с 19.2 по 19.2.5 и с 19.3 по 19.3.1. Она имеет оценку CVSS 10.0 — максимально возможный уровень серьёзности. Для эксплуатации требуется только наличие хотя бы одного публичного проекта в инстансе GitLab.
Эксплуатация и реагирование
Компания watchTowr сообщила, что в течение нескольких часов после раскрытия информации злоумышленники начали проводить разведку в реальных условиях. CISA впоследствии добавила CVE-2026-85706 в каталог известных эксплуатируемых уязвимостей. GitLab выпустила исправление 11 сентября 2026 года, а через две недели перенесла его в версии 19.0.9 и 18.11. watchTowr рекомендует искать в логах HTTP POST-запросы к URI /api/v4/projects/{id}/repository/commits/ с параметрами file.path. Эксперт по кибербезопасности Кристофер Хаузер предупредил, что одного патча недостаточно, поскольку злоумышленники могли уже скопировать токены развёртывания, переменные CI и SSH-ключи.
1 источник
Время · отставание