CVE-2026-85706: fallo crítico en GitLab permite robar ficheros sin credenciales

CVE-2026-85706: fallo crítico en GitLab permite robar ficheros sin credenciales

En corto

GitLab ha confirmado una vulnerabilidad crítica (CVE-2026-85706, CVSS 10.0) que permite a un atacante sin credenciales leer ficheros arbitrarios del servidor [1]. Está incluida en el catálogo CISA KEV de vulnerabilidades explotadas activamente [2]. Afecta a instancias GitLab Community y Enterprise Edition [1]. Si tu empresa usa GitLab, la prioridad de hoy es identificar la versión instalada y aplicar el parche correspondiente sin demora.

Qué es y por qué importa

La vulnerabilidad reside en la API de commits de repositorios de GitLab. Según la descripción oficial, un fallo de confinamiento de rutas ("path confinement") combinado con una comprobación de autenticación ausente permite que un usuario no autenticado acceda a ficheros arbitrarios del servidor mediante técnicas de path traversal [1]. La NVD la ha calificado con severidad crítica y puntuación CVSS 10.0, la máxima posible [1], lo que refleja que se puede explotar de forma remota, sin privilegios ni interacción del usuario, y con un impacto potencialmente total sobre la confidencialidad de los datos.

El equipo de intel de OCIRIA ha catalogado esta vulnerabilidad como "Path traversal / acceso a ficheros" y destaca que, al no requerir autenticación, cualquier instancia de GitLab expuesta a internet es un objetivo directo: código fuente, ficheros de configuración con secretos, variables de entorno o credenciales almacenadas en el repositorio podrían quedar expuestos sin dejar rastro de acceso autenticado.

Que la vulnerabilidad figure en el catálogo CISA KEV es un dato relevante: significa que existe constancia de explotación activa en el mundo real, no solo un riesgo teórico [2].

A quién afecta

Afecta a organizaciones que operan instancias propias (self-managed) de GitLab Community Edition (CE) o Enterprise Edition (EE) [1]. Según la descripción oficial del fabricante, el rango de versiones afectadas abarca desde la serie 18.7 hasta versiones específicas de las series 19.0, 19.1, 19.2 y 19.3, cada una con su correspondiente versión corregida [1]. Dado lo amplio del rango, cualquier equipo de desarrollo, DevOps o plataforma que mantenga GitLab on-premise o en infraestructura propia debe considerarse potencialmente expuesto hasta verificar su versión concreta.

Las organizaciones que usan GitLab.com (SaaS) gestionado directamente por GitLab suelen recibir los parches de forma centralizada, pero conviene confirmarlo con el equipo responsable de esa cuenta si existe alguna duda sobre el modelo de despliegue.

Cómo saber si eres vulnerable

• Identifica la versión exacta de GitLab CE/EE que tienes desplegada (visible en el panel de administración o en el endpoint /help).
• Compara esa versión con los rangos afectados indicados por el fabricante [1]: 18.7–18.11.12, 19.0–19.0.9, 19.1–19.1.8, 19.2–19.2.6 y 19.3–19.3.2.
• Revisa si tu instancia de GitLab es accesible desde internet sin restricciones de red (VPN, IP allowlisting), ya que la explotación no requiere autenticación.
• Como parte de tu higiene de seguridad general, conviene mapear qué activos y servicios de tu organización están expuestos a internet; el radar de superficie de OCIRIA está pensado precisamente para detectar este tipo de exposición de forma continua.

Cómo protegerte

1. Actualiza GitLab de inmediato a la primera versión corregida de tu rama (18.11.12, 19.0.9, 19.1.8, 19.2.6 o 19.3.2, según corresponda) [1].

2. Restringe el acceso de red a la instancia mientras completas la actualización: limita el acceso a IPs de confianza o VPN corporativa.

3. Audita los logs de acceso a la API de commits durante el periodo en que tu instancia estuvo en versión vulnerable, buscando patrones de path traversal o accesos anómalos sin autenticación.

4. Rota credenciales y secretos que pudieran estar almacenados en repositorios o ficheros de configuración accesibles, como medida de precaución ante una posible exposición.

5. Prioriza este parche sobre otros pendientes: la combinación de CVSS 10.0 y presencia en CISA KEV indica riesgo máximo y explotación conocida [1][2].

FAQ

¿Necesito estar autenticado para ser atacado? No. La vulnerabilidad permite el acceso a un atacante sin credenciales, lo que la hace especialmente peligrosa [1].

¿Hay evidencia de que se esté explotando activamente? Sí, la vulnerabilidad está incluida en el catálogo CISA KEV, que recoge vulnerabilidades con explotación activa confirmada [2].

¿Afecta también a GitLab.com? La descripción oficial se refiere a instancias GitLab CE/EE; si usas GitLab.com como servicio gestionado, confirma con tu proveedor el estado del parche.

¿Basta con actualizar o debo hacer algo más? Actualizar es el paso imprescindible, pero dado el riesgo de exposición de ficheros durante el periodo vulnerable, revisar logs y rotar credenciales sensibles es una precaución razonable.

Fuentes

• [1] https://nvd.nist.gov/vuln/detail/CVE-2026-85706
• [2] https://raw.githubusercontent.com/cisagov/kev-data/develop/known_exploited_vulnerabilities.json