CVE-2026-85706: o breșă critică în GitLab permite furtul de fișiere fără acreditări

CVE-2026-85706: o breșă critică în GitLab permite furtul de fișiere fără acreditări

Pe scurt

GitLab a confirmat o vulnerabilitate critică (CVE-2026-85706, CVSS 10.0) care permite unui atacator fără acreditări să citească fișiere arbitrare de pe server [1]. Este inclusă în catalogul CISA KEV de vulnerabilități exploatate activ [2]. Afectează instanțele GitLab Community și Enterprise Edition [1]. Dacă firma ta folosește GitLab, prioritatea de azi este să identifici versiunea instalată și să aplici fără întârziere patch-ul corespunzător.

Ce este și de ce contează

Vulnerabilitatea se află în API-ul de commit-uri al repozitoriilor GitLab. Conform descrierii oficiale, o eroare de confinare a căilor ("path confinement") combinată cu lipsa unei verificări de autentificare permite unui utilizator neautentificat să acceseze fișiere arbitrare de pe server prin tehnici de path traversal [1]. NVD a evaluat-o cu severitate critică și scor CVSS 10.0, maximul posibil [1], ceea ce reflectă faptul că poate fi exploatată de la distanță, fără privilegii sau interacțiune din partea utilizatorului, cu un impact potențial total asupra confidențialității datelor.

Echipa de intel de la OCIRIA a clasificat această vulnerabilitate drept „Path traversal / acces la fișiere" și subliniază că, întrucât nu necesită autentificare, orice instanță GitLab expusă la internet este o țintă directă: cod sursă, fișiere de configurare cu secrete, variabile de mediu sau acreditări stocate în repozitoriu ar putea fi expuse fără a lăsa nicio urmă de acces autentificat.

Faptul că vulnerabilitatea figurează în catalogul CISA KEV este o informație relevantă: înseamnă că există dovezi de exploatare activă în lumea reală, nu doar un risc teoretic [2].

Pe cine afectează

Afectează organizațiile care operează instanțe proprii (self-managed) de GitLab Community Edition (CE) sau Enterprise Edition (EE) [1]. Conform descrierii oficiale a producătorului, gama versiunilor afectate acoperă de la seria 18.7 până la versiuni specifice din seriile 19.0, 19.1, 19.2 și 19.3, fiecare cu versiunea sa corectată corespunzătoare [1]. Având în vedere amploarea acestui interval, orice echipă de dezvoltare, DevOps sau platformă care menține GitLab on-premise sau pe infrastructură proprie trebuie considerată potențial expusă până la verificarea versiunii concrete.

Organizațiile care folosesc GitLab.com (SaaS) gestionat direct de GitLab primesc de regulă patch-urile în mod centralizat, dar este recomandat să se confirme acest lucru cu echipa responsabilă de acel cont dacă există vreo îndoială privind modelul de implementare.

Cum să afli dacă ești vulnerabil

• Identifică versiunea exactă de GitLab CE/EE pe care o ai implementată (vizibilă în panoul de administrare sau la endpoint-ul /help).
• Compară acea versiune cu intervalele afectate indicate de producător [1]: 18.7–18.11.12, 19.0–19.0.9, 19.1–19.1.8, 19.2–19.2.6 și 19.3–19.3.2.
• Verifică dacă instanța ta de GitLab este accesibilă din internet fără restricții de rețea (VPN, listă albă de IP-uri), deoarece exploatarea nu necesită autentificare.
• Ca parte a igienei tale generale de securitate, este util să cartografiezi ce active și servicii ale organizației tale sunt expuse la internet; radarul de suprafață al OCIRIA este conceput exact pentru a detecta acest tip de expunere în mod continuu.

Cum să te protejezi

1. Actualizează GitLab imediat la prima versiune corectată din ramura ta (18.11.12, 19.0.9, 19.1.8, 19.2.6 sau 19.3.2, după caz) [1].

2. Restricționează accesul din rețea la instanță în timp ce finalizezi actualizarea: limitează accesul la IP-uri de încredere sau la VPN-ul corporativ.

3. Auditează jurnalele de acces la API-ul de commit-uri din perioada în care instanța ta a rulat pe versiunea vulnerabilă, căutând tipare de path traversal sau accesuri anormale fără autentificare.

4. Rotește acreditările și secretele care ar putea fi stocate în repozitorii sau fișiere de configurare accesibile, ca măsură de precauție în fața unei posibile expuneri.

5. Prioritizează acest patch în fața altor sarcini restante: combinația dintre CVSS 10.0 și prezența în CISA KEV indică risc maxim și exploatare cunoscută [1][2].

Întrebări frecvente

Trebuie să fiu autentificat pentru a fi atacat? Nu. Vulnerabilitatea permite accesul unui atacator fără acreditări, ceea ce o face deosebit de periculoasă [1].

Există dovezi că este exploatată activ? Da, vulnerabilitatea este inclusă în catalogul CISA KEV, care înregistrează vulnerabilități cu exploatare activă confirmată [2].

Afectează și GitLab.com? Descrierea oficială se referă la instanțele GitLab CE/EE; dacă folosești GitLab.com ca serviciu gestionat, confirmă cu furnizorul tău stadiul patch-ului.

Este suficient să actualizez sau trebuie să fac mai mult? Actualizarea este pasul indispensabil, dar având în vedere riscul de expunere a fișierelor în perioada vulnerabilă, revizuirea jurnalelor și rotirea acreditărilor sensibile reprezintă o precauție rezonabilă.

Surse

• [1] https://nvd.nist.gov/vuln/detail/CVE-2026-85706
• [2] https://raw.githubusercontent.com/cisagov/kev-data/develop/known_exploited_vulnerabilities.json