CISA ostrzega przed aktywnym wykorzystywaniem krytycznej luki w GitLab

Wprowadzenie do problemu / definicja

Amerykańska agencja CISA ostrzegła przed aktywnym wykorzystywaniem podatności CVE-2026-85706 w platformie GitLab. Luka dotyczy edycji Community Edition oraz Enterprise Edition i została sklasyfikowana jako krytyczna, ponieważ umożliwia nieautoryzowany odczyt plików z podatnego serwera.

W praktyce oznacza to ryzyko ujawnienia sekretów, poświadczeń, tokenów oraz innych wrażliwych danych wykorzystywanych w procesach DevOps i DevSecOps. Dla organizacji utrzymujących własne instancje GitLab jest to zagrożenie o wysokim znaczeniu operacyjnym.

W skrócie

CVE-2026-85706 to podatność typu path traversal połączona z niewłaściwym wymuszaniem uwierzytelnienia w API powiązanym z commitami repozytorium. Atakujący nie musi posiadać konta, aby próbować odczytywać wybrane zasoby z serwera.

• Dotknięte są instancje self-managed GitLab CE i EE.
• Zagrożone są wersje wcześniejsze niż 19.1.8, 19.2.6 oraz 19.3.2.
• Poprawki opublikowano 10 września 2026 roku.
• Dzień później podatność trafiła do katalogu aktywnie wykorzystywanych luk.
• Największe ryzyko dotyczy ujawnienia sekretów i poświadczeń związanych z CI/CD.

Kontekst / historia

GitLab pozostaje jednym z najważniejszych elementów nowoczesnych środowisk wytwarzania oprogramowania. Platforma łączy repozytoria kodu, pipeline’y CI/CD, skanowanie bezpieczeństwa oraz zarządzanie cyklem życia aplikacji, dlatego każda luka wpływająca na poufność danych może mieć bezpośrednie skutki dla całego łańcucha dostaw oprogramowania.

W analizowanym przypadku producent wydał krytyczny biuletyn bezpieczeństwa 10 września 2026 roku i zalecił natychmiastową aktualizację. Następnie pojawiły się sygnały o skanowaniu podatnych instancji dostępnych z Internetu, a CISA potwierdziła aktywną eksploatację przez dodanie CVE-2026-85706 do katalogu KEV. Taki rozwój wydarzeń pokazuje, jak krótki był czas między publikacją poprawki a rozpoczęciem realnych działań ofensywnych.

Analiza techniczna

Luka CVE-2026-85706 wynika z nieprawidłowego ograniczenia ścieżek oraz niewystarczającej kontroli uwierzytelnienia w interfejsie repository commits API. Odpowiednio przygotowane żądanie HTTP może umożliwić odczyt plików spoza oczekiwanego kontekstu działania repozytorium.

Mechanizm ataku opiera się na traversalu katalogów dzięki parametru ścieżki pliku. o ile aplikacja nie blokuje takiego odwołania i jednocześnie nie wymusza skutecznej autoryzacji, napastnik może uzyskać dostęp do lokalnych zasobów serwera, które nie powinny być publicznie dostępne.

W środowisku GitLab szczególnie cenne dla atakującego mogą być:

• tokeny dostępu,
• klucze API,
• sekrety CI/CD,
• dane konfiguracyjne integracji,
• poświadczenia usług zewnętrznych,
• informacje wspierające dalszą eskalację uprawnień lub ruch boczny.

Istotnym wskaźnikiem prób wykorzystania podatności są nietypowe żądania HTTP POST kierowane do ścieżek związanych z endpointem /api/v4/projects/{id}/repository/commits/, szczególnie z niestandardowym użyciem parametru file.path. Analiza logów aplikacyjnych, reverse proxy oraz urządzeń ochronnych może pomóc w wykryciu śladów eksploatacji.

Konsekwencje / ryzyko

Ryzyko związane z CVE-2026-85706 nie kończy się na samym odczycie plików. W praktyce ujawnienie sekretów może prowadzić do kolejnych etapów ataku, w tym przejęcia pipeline’ów, dostępu do prywatnych repozytoriów, rejestrów artefaktów czy usług chmurowych zintegrowanych z GitLab.

• wyciek danych uwierzytelniających i sekretów aplikacyjnych,
• kompromitacja łańcucha dostaw oprogramowania,
• możliwość modyfikacji procesów CI/CD po wykorzystaniu przejętych poświadczeń,
• wzrost ryzyka wdrożenia złośliwego kodu do projektu,
• utrata poufności kodu źródłowego i konfiguracji,
• potencjalne naruszenie wymagań compliance oraz obowiązków raportowych.

Dla organizacji korzystających z self-managed GitLab oznacza to konieczność traktowania tej luki nie jako zwykłego błędu aplikacyjnego, ale jako incydentu, który może doprowadzić do szerokiej kompromitacji środowiska developerskiego.

Rekomendacje

Najważniejszym działaniem pozostaje natychmiastowa aktualizacja GitLab CE/EE do wersji 19.1.8, 19.2.6 lub 19.3.2 albo nowszej, jeżeli została już zatwierdzona operacyjnie. W przypadku instancji wystawionych do Internetu szybkość reakcji ma najważniejsze znaczenie.

• niezwłocznie zaktualizować wszystkie instancje self-managed,
• ograniczyć ekspozycję API GitLab do Internetu wszędzie tam, gdzie to możliwe,
• przeanalizować logi aplikacyjne, reverse proxy i WAF pod kątem podejrzanych żądań do repository commits API,
• przeprowadzić rotację tokenów, kluczy i sekretów, jeżeli istnieje choćby podejrzenie ich ekspozycji,
• zweryfikować konfiguracje runnerów, zmiennych CI/CD oraz integracji z systemami zewnętrznymi,
• monitorować nietypowe pobrania plików, zmiany w pipeline’ach i użycie poświadczeń serwisowych,
• uwzględnić CVE-2026-85706 w procedurach threat hunting oraz regułach detekcyjnych SOC.

Organizacje powinny również przyjąć scenariusz zakładający, iż do naruszenia mogło dojść jeszcze przed wdrożeniem poprawek. Sama aktualizacja eliminuje podatność, ale nie usuwa skutków ewentualnego wcześniejszego wycieku danych.

Podsumowanie

CVE-2026-85706 to krytyczna podatność GitLab, która bardzo gwałtownie została powiązana z aktywnymi atakami. Jej charakter sprawia, iż szczególnie groźna jest dla organizacji opierających procesy rozwoju i wdrażania systemu na GitLab, ponieważ może prowadzić do ujawnienia sekretów bez uprzedniego uwierzytelnienia.

W praktyce oznacza to wysokie ryzyko kompromitacji łańcucha dostaw systemu oraz infrastruktury powiązanej z CI/CD. Priorytetem powinny być natychmiastowe aktualizacje, szczegółowy przegląd logów oraz rotacja wrażliwych danych w przypadku podejrzenia ekspozycji.

Źródła

1. BleepingComputer – CISA: Hackers now exploit max severity GitLab flaw in attacks — https://www.bleepingcomputer.com/news/security/cisa-hackers-now-exploit-max-severity-gitlab-flaw-in-attacks/
2. GitLab Docs – GitLab Critical Patch Release: 19.3.2, 19.2.6, 19.1.8 — https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-3-2-released/
3. NVD – CVE-2026-85706 — https://nvd.nist.gov/vuln/detail/CVE-2026-85706
4. Canadian Centre for Cyber Security – GitLab security advisory (AV26-917) — https://www.cyber.gc.ca/en/alerts-advisories/gitlab-security-advisory-av26-917