GitLab выпустила обновления CE и EE до версий 19.3.2, 19.2.6, а также патч для ветки 19.1, закрыв несколько уязвимостей, среди которых две критические.
Первая — обход пути в API коммитов репозитория (CVE-2026-85706), получившая максимальный балл риска 10 из 10. Причина — отсутствие обязательной аутентификации и слабое ограничение доступа к файловой системе, что позволяет неавторизованным атакующим читать конфиденциальные данные, включая учётные записи.
Вторая уязвимость связана с небезопасной десериализацией в сериализаторе подписок GraphQL.
Американское агентство CISA добавило CVE-2026-85706 в каталог KEV, подтвердив, что уязвимость уже активно используется злоумышленниками в реальных атаках. Государственным организациям дали три дня на обновление систем.
Сама GitLab не сообщала о случаях эксплуатации, однако специалисты watchTowr зафиксировали попытки атак. По их словам, брешь позволяет считывать произвольные файлы с помощью одного HTTP-запроса.
Эксперты рекомендуют проверять журналы на наличие POST-запросов к пути /api/v4/projects/{id}/repository/commits/ с параметром file.path — это может указывать на попытки эксплуатации.
До начала массовых атак остаётся крайне мало времени.
GitLab — платформа для разработки, тестирования, проверки безопасности и развёртывания ПО с более чем 50 млн пользователей; её используют около половины компаний из списка Fortune 100.