Агентство по кибербезопасности и защите инфраструктуры США (CISA) официально внесло уязвимость в платформе GitLab в свой каталог известных эксплуатируемых уязвимостей (KEV). Ведомство предупредило пользователей об активном использовании данной бреши злоумышленниками в реальных условиях.
Проблема безопасности получила идентификатор CVE-2026-85706 и максимальную оценку опасности в 10 баллов из 10 возможных. Данная критическая уязвимость представляет собой ошибку обхода каталога (path traversal), которая затрагивает API компиляции репозиториев. Недостаток возникает из-за отсутствия должного принудительного контроля аутентификации и некорректного ограничения путей в соответствующем программном интерфейсе.
Детали опасной уязвимости CVE-2026-85706
Уязвимость позволяет внешним злоумышленникам без прохождения аутентификации получать доступ к чтению различных конфиденциальных данных. В частности, в зоне риска оказываются секретные ключи и учетные данные для входа в системы. Брешь была устранена компанией GitLab в обновленных версиях платформ Community Edition и Enterprise Edition с номерами 19.3.2, 19.2.6 и 19.1, где также исправили другие уязвимости, включая проблему небезопасной десериализации в сериализаторе подписок GraphQL.
Изначально в официальных рекомендациях разработчиков GitLab не упоминались случаи эксплуатации данной бреши в дикой природе. Однако вскоре исследователи из компании watchTowr опубликовали собственный отчет, в котором заявили о фиксации реальных сканирований и попыток атак. Специалисты отметили, что уязвимость позволяет злоумышленникам считывать произвольные файлы посредством всего одного HTTP-запроса, и порекомендовали защитникам изучать логи на предмет подозрительных POST-запросов к определенным URL-адресам проектов.
Требования CISA и масштабы платформы
Добавление уязвимости в каталог KEV подтвердило факты ее активной эксплуатации. В связи с этим государственным ведомствам США был предписан предельно сжатый трехдневный срок для установки необходимых обновлений безопасности на свои серверы.
Платформа GitLab представляет собой комплексное решение для автоматизации процессов разработки и специалистов по DevSecOps. Согласно официальной отчетности компании для Комиссии по ценным бумагам и биржам США, сервисом пользуются более 50 миллионов зарегистрированных учетных записей, а услугами платформы охвачено около половины корпораций из списка Fortune 100.
Помимо критической уязвимости обхода каталога (path traversal), в последних обновлениях GitLab была устранена еще одна брешь критической степени опасности — проблема небезопасной десериализации (Insecure Deserialization) в сериализаторе подписок GraphQL.
В своем отчете эксперты по кибербезопасности из компании watchTowr подробно описали механику атак. По их данным, злоумышленники могут считывать произвольные файлы, отправляя всего один HTTP-запрос. Исследователи настоятельно рекомендовали специалистам по защите информации осуществлять мониторинг и изучать файлы логов на предмет наличия подозрительных HTTP POST-запросов к URI вида /api/v4/projects/{id}/repository/commits/, которые содержат параметры file.path, чтобы оперативно выявлять потенциальные попытки несанкционированного взлома и эксплуатации.
