GitLabin CVSS 10 -haavoittuvuutta käytetään jo hyväksi – päivitä itse hallitut palvelimet heti

Itse hallitun GitLabin ylläpitäjien kannattaa käsitellä CVE-2026-85706:ta kiireellisenä tietoturvapoikkeamana. Haavoittuvuuden CVSS 3.1 -pistemäärä on 10,0, ja sitä on havaittu käytettävän tai ainakin aktiivisesti tunnustelevan internetissä. Tietyissä olosuhteissa kirjautumaton käyttäjä voi lukea GitLab-palvelimelta mielivaltaisia tiedostoja. 32122

Päivitä ensin

Haavoittuva itse hallittu GitLab Community Edition- tai Enterprise Edition -asennus on päivitettävä viipymättä johonkin seuraavista versioista tai niitä uudempaan:

• 19.1.8
• 19.2.6
• 19.3.2

Haavoittuvia ovat GitLab CE/EE:n versiot 18.7–ennen 19.1.8:aa, 19.2–ennen 19.2.6:ta sekä 19.3–ennen 19.3.2:ta. Korjaukset julkaistiin 10.9.2026. 37

Yhdysvaltain kyberturvallisuusviranomainen CISA lisäsi CVE-2026-85706:n 11.9. Known Exploited Vulnerabilities (KEV) -luetteloonsa. Luettelo kokoaa haavoittuvuuksia, joista on näyttöä hyväksikäytöstä käytännössä. CISA:n määräaika 14.9. koski sen soveltamisalaan kuuluvia Yhdysvaltain liittovaltion siviiliviranomaisia, ei automaattisesti suomalaisia tai yksityisiä organisaatioita. Kiireellisyys on silti sama erityisesti internetiin avoimissa asennuksissa. 23

Mitä haavoittuvuus mahdollistaa?

Ongelma sijaitsee GitLabin Repository Commits API -rajapinnassa. Taustalla on käyttäjän hallitseman polun puutteellinen rajaaminen sekä puuttuva todennuksen pakotus. Näiden yhdistelmä voi mahdollistaa palvelimella GitLab-prosessin luettavissa olevien tiedostojen lukemisen ilman kirjautumista. 3

Kyse on ensisijaisesti tiedostojen paljastumiseen johtavasta haavoittuvuudesta, ei tästä CVE:stä yksinään vahvistetusta etäkoodin suorituksesta. Tiedostojen luvaton luku voi kuitenkin paljastaa myöhempää murtoa helpottavia tietoja: esimerkiksi sovellusasetuksia, tunnuksia, tokeneita, SSH-avaimia ja tietokantayhteyksien tunnistetietoja, jos ne ovat GitLab-palvelun luettavissa. 925

Miksi tilanne on poikkeuksellisen kiireellinen?

watchTowr kertoi havainneensa haavoittuvuuteen liittyviä kyselyjä eli probeja internetissä. Sen honeypot-verkossa niitä havaittiin 11.9. CISA:n KEV-listaus on toinen vahva merkki siitä, ettei riski ole vain teoreettinen. 222

Julkisten tietojen perusteella voidaan vahvistaa tunnustelu- ja hyväksikäyttöaktiivisuus, mutta ne eivät nimeä yksittäistä tekijää, kerro luotettavaa uhrimäärää tai todista yhtä kaikissa tapauksissa toteutuvaa jatkohyökkäysketjua. Siksi lokihavaintojen puuttumista ei pidä tulkita varmuudeksi siitä, ettei avoimeen palvelimeen olisi koskettu.

Käsittele avoin palvelin mahdollisena salaisuuksien paljastumisena

Päivitys estää haavoittuvan toiminnan jatkossa, mutta se ei peruuta mahdollisesti jo luettuja tietoja. Jos haavoittunut palvelin on ollut internetistä saavutettavissa, säilytä tutkinta-aineisto ja arvioi ensin, mitä GitLab-palvelutili on voinut lukea.

Tarkista ja aseta vaihdettavien tunnistetietojen etusijalle ainakin:

• GitLabin sovellus- ja asetussalaisuudet
• asetuksiin tallennetut tietokanta-, Redis-, objektitallennus-, rekisteri-, SMTP-, hakemistopalvelu- ja identiteetintarjoajatunnukset
• CI/CD-muuttujat, deploy- ja access-tokenit, runner-tokenit, deploy-avaimet sekä integraatioiden ja jobien käyttämät tunnistetiedot
• pilviavaimet, pakettirekisterien tunnukset, allekirjoitusavaimet sekä palvelimelta tai GitLab-prosessilta luettavissa olevat SSH- ja TLS-yksityisavaimet

Tunnistetietojen vaihtaminen on tehtävä hallitusti. Sovellussalaisuuksien tai salaukseen liittyvien asetusten muuttaminen voi mitätöidä istuntoja sekä rikkoa salattuja asetuksia tai integraatioita. Ota siksi ensin talteen olennaiset lokit ja asetustiedot, suunnittele palautus ja vaihda suuririskisimmät tunnukset vaiheittain.

Mistä hyväksikäyttöyrityksiä etsitään?

Keskeinen ensimmäinen indikaattori on Repository Commits APIin tehty HTTP POST -pyyntö:

/api/v4/projects/<id>/repository/commits/

Erityisesti kannattaa etsiä pyyntöjä, joissa on file.path-parametri. Tarkista käänteisen välityspalvelimen, kuormantasaajan, WAF:n ja GitLab Railsin pääsylokeista epätavalliset kirjautumattomat pyynnöt, polun läpikäyntiin viittaavat koodatut syötteet, odottamattomat projekti-ID:t, toistuvat virheet, luettelointia muistuttavat pyynnöt ja poikkeavat vastauskoot. 212426

Selvitä myös mahdollisen altistumisajan jälkeiset muutokset ja tapahtumat: uudet tai käytetyt tokenit, runner-rekisteröinnit, CI/CD-muuttujien tai pipeline-määrittelyjen muutokset, epätavalliset importit, GraphQL-toiminta ja odottamattomat ulospäin suuntautuvat yhteydet. Julkaisuun liittyvässä ohjeistuksessa kehotetaan tarkistamaan myös commitit, GraphQL-tilaukset, projekti-importit ja CI/CD-pipelinet. 23

Puhdas lokihaku ei ole lopullinen vapauttava todiste. Lokien säilytysaika voi olla lyhyt, sovellusloki ei välttämättä tallenna tarvittuja pyyntötietoja, ja joskus ainoa käyttökelpoinen näyttö on välityspalvelimen tai WAF:n lokeissa.

Jos päivitys viivästyy

Varsinainen korjaus on päivitys. Jos hätäpäivitystä ei saada tehtyä heti, pienennä riskiä rajaamalla GitLabin verkko- ja API-pääsy VPN:ään tai hyväksyttyihin verkkoihin. Käänteisen välityspalvelimen tai WAF:n tiukka rajoitus haavoittuvaan Repository Commits API -reittiin voi olla väliaikainen suojakeino, mutta se voi rikkoa hyväksyttyä automaatiota eikä korvaa päivitystä.

Käytännön toimintajärjestys on seuraava:

1. Tunnista ja priorisoi internetistä saavutettavat itse hallitut GitLab-asennukset.
2. Päivitä versioon 19.1.8, 19.2.6, 19.3.2 tai uudempaan.
3. Varmista käytössä oleva versio päivityksen jälkeen.
4. Säilytä ja tarkista lokit hyväksikäytön merkkien varalta.
5. Vaihda mahdollisesti paljastuneet salaisuudet palvelimen käyttöoikeuksien ja liiketoimintavaikutuksen perusteella.

Samassa julkaisussa korjatut muut vakavat ongelmat

Tietoturvaraportoinnissa mainittiin myös kaksi Enterprise Editioniin liittyvää haavoittuvuutta:

• CVE-2026-87719 on raportoitu todennetun käyttäjän turvattomana deserialisointiongelmana, jonka CVSS-pistemäärä on 9,9. Joissakin raporteissa se yhdistetään Advanced Searchin asetusten ja tunnistetietojen paljastumiseen. 6
• CVE-2026-88765 on raportoitu todennetun käyttäjän etäkoodin suorittamisen riskinä, joka liittyy muotoillun Git-projektiviennin tuontiin. Raportoitu CVSS-pistemäärä on 8,5. 625

Näillä haavoittuvuuksilla on eri edellytykset ja vaikutukset kuin CVE-2026-85706:lla. Internetiin avoimissa itse hallituissa GitLab-asennuksissa kirjautumatta hyödynnettävä ja aktiivisesti hyväksikäytetty tiedostonlukuhaavoittuvuus on silti ensimmäinen eristys- ja tutkintatoimien prioriteetti.