GitLab-fejl med CVSS 10 udnyttes aktivt: Opdatér selvhostede installationer nu

CVE-2026-85706 er en sårbarhed med maksimal alvorlighed i selvhostede GitLab Community Edition (CE) og Enterprise Edition (EE). Fejlen har en CVSS 3.1-score på 10,0 og kan under visse betingelser give en uautentificeret bruger mulighed for at læse vilkårlige filer fra en GitLab-server. Det er ikke kun en teoretisk risiko: CISA har registreret den som kendt udnyttet, og sikkerhedsforskere har rapporteret scanninger mod interneteksponerede installationer kort efter, at rettelserne blev frigivet. 32122

Det vigtigste lige nu

Hvis en selvhostet GitLab-instans kører en berørt version, bør den opgraderes hurtigst muligt til en rettet version:

• 19.1.8 eller nyere
• 19.2.6 eller nyere
• 19.3.2 eller nyere

De berørte versionsområder er GitLab CE/EE 18.7 før 19.1.8, 19.2 før 19.2.6 og 19.3 før 19.3.2. GitLab udsendte rettelserne den 10. september 2026. 37

CISA – den amerikanske cybersikkerhedsmyndighed – tilføjede CVE-2026-85706 til sit katalog over Known Exploited Vulnerabilities (KEV) den 11. september og satte en handlingsfrist den 14. september for omfattede føderale civile myndigheder i USA. Fristen gælder ikke automatisk for private organisationer, men den understreger alvoren for alle internettilgængelige, selvhostede installationer. 3

Hvad fejlen kan bruges til

Sårbarheden findes i GitLabs Repository Commits API. Den dokumenterede årsag er en kombination af utilstrækkelig afgrænsning af stier, som brugeren kontrollerer, og manglende håndhævelse af autentificering. En uautentificeret angriber kan dermed under visse betingelser læse vilkårlige filer, som GitLab-tjenesten har adgang til. 3

Det er først og fremmest en sårbarhed til filudlæsning. Det foreliggende materiale fastslår ikke, at CVE-2026-85706 alene giver mulighed for fjernudførelse af kode. Men læsning af vilkårlige filer kan udlevere oplysninger, der kan bruges i et senere angreb – afhængigt af serverens opsætning. Det kan eksempelvis være applikationsindstillinger, tokens, SSH-nøgler, databaseoplysninger og andre hemmeligheder, som GitLab-processen kan læse. 925

Aktiv udnyttelse kræver en hurtigere reaktion

WatchTowr har oplyst, at virksomheden observerede forsøg på udnyttelse i praksis, herunder via sit honeypot-netværk den 11. september. CISA's KEV-registrering er også et væsentligt signal, fordi kataloget er beregnet til sårbarheder med dokumentation for udnyttelse i den virkelige verden. 222

Den offentlige rapportering bekræfter scanninger og udnyttelsesaktivitet, men peger ikke på én ansvarlig aktør, angiver ikke et pålideligt antal berørte organisationer og dokumenterer ikke én universel angrebskæde efter udnyttelsen. Et manglende brudvarsel er derfor ikke bevis for, at en eksponeret server ikke er blevet forsøgt angrebet.

Behandl eksponerede instanser som mulig læk af hemmeligheder

En opdatering stopper den sårbare adfærd, men den kan ikke tilbagekalde data, der allerede kan være læst. For en berørt server, som har været tilgængelig fra internettet, bør man bevare beviser og vurdere, hvilke data GitLab-tjenestekontoen kunne tilgå, før man gennemfører en større oprydning.

Prioritér gennemgang og rotation af legitimationsoplysninger, der kan have været tilgængelige, herunder:

• GitLabs applikations- og konfigurationshemmeligheder
• Oplysninger til database, Redis, objektlager, registry, SMTP, katalogtjenester og identitetsudbydere, der ligger i konfigurationen
• CI/CD-variabler, deploy-tokens, access tokens, runner-tokens, deploy-nøgler og legitimationsoplysninger monteret til jobs eller integrationer
• Cloudnøgler, oplysninger til pakke-registre, signeringsnøgler samt private SSH- eller TLS-nøgler, som værten eller GitLab-processen kan læse

Rotation skal planlægges omhyggeligt. Ændringer af applikationshemmeligheder eller krypteringsrelaterede indstillinger kan ugyldiggøre sessioner og forstyrre krypterede indstillinger eller integrationer. Gem relevante logge og konfigurationsdata først, fastlæg en genopretningsplan, og rotér derefter de mest risikofyldte legitimationsoplysninger i en kontrolleret rækkefølge.

Detektion: Hvor skal man lede?

En nyttig første indikator er en HTTP-POST-forespørgsel mod Repository Commits API-stien:

/api/v4/projects/<id>/repository/commits/

Rapporter anbefaler specifikt at lede efter forespørgsler med parameteren file.path. Gennemgå adgangslogge fra reverse proxy, load balancer, WAF og GitLab Rails for usædvanlige uautentificerede forespørgsler, URL-kodede stier med tegn på traversal, uventede projekt-id'er, gentagne fejl, mønstre der ligner opremsning, eller unormalt store svar. 212426

Undersøg også aktivitet, der kan være relateret efter det mistænkte eksponeringstidspunkt: nyoprettede eller brugte tokens, runner-registreringer, ændrede CI/CD-variabler eller pipeline-definitioner, usædvanlige importer, GraphQL-aktivitet og uventede udgående forbindelser. Vejledningen omkring udgivelsen anbefaler også gennemgang af commits, GraphQL-abonnementer, projektimporter og CI/CD-pipelines. 23

En ren logsøgning er ikke et endeligt frikendelsesbevis. Logopbevaring kan være begrænset, applikationslogning kan mangle de relevante forespørgselsdetaljer, og proxy- eller WAF-logge kan være den eneste tilgængelige dokumentation.

Midlertidige kontroller, hvis opdateringen forsinkes

Opgradering er den nødvendige afhjælpning. Hvis en nødopdatering ikke kan gennemføres med det samme, bør eksponeringen reduceres ved at begrænse adgang til GitLabs web- og API-tjeneste til VPN eller godkendte netværk. En regel i reverse proxy eller WAF, som stramt begrænser den berørte Repository Commits API-rute, kan kortvarigt reducere risikoen, men kan forstyrre legitim automatisering og må ikke betragtes som en erstatning for opdatering.

Den praktiske rækkefølge for hver berørt server er:

1. Identificér og prioritér selvhostede instanser, der kan nås udefra.
2. Opgradér til 19.1.8, 19.2.6, 19.3.2 eller en nyere version.
3. Bekræft den kørende version efter ændringen.
4. Bevar og gennemgå logge for indikatorer på udnyttelse.
5. Rotér muligvis eksponerede hemmeligheder ud fra serverens adgang og forretningsmæssige betydning.

Andre fejl i samme sikkerhedsudgivelse

Sikkerhedsrapporteringen beskrev også to Enterprise Edition-fejl, der blev rettet i udgivelsen:

• CVE-2026-87719 rapporteres som en autentificeret fejl med usikker deserialisering og CVSS-score på 9,9. I nogle rapporter kædes den sammen med eksponering af Advanced Search-konfiguration og legitimationsoplysninger. 6
• CVE-2026-88765 rapporteres som en risiko for autentificeret fjernudførelse af kode ved import af en manipuleret eksport af et Git-projekt med en rapporteret CVSS-score på 8,5. 625

Disse fejl har andre forudsætninger og konsekvenser end CVE-2026-85706. Den uautentificerede sårbarhed til filudlæsning, som allerede udnyttes aktivt, bør fortsat være førsteprioritet i inddæmning og incident response for eksponerede, selvhostede GitLab-installationer.