CVE-2026-85706 GitLab Dieksploitasi Aktif: Tampal Pelayan Self-Managed Segera

CVE-2026-85706 ialah kelemahan path traversal berkeparahan maksimum dalam GitLab Community Edition (CE) dan Enterprise Edition (EE) yang diurus sendiri (self-managed). Skor CVSS 3.1-nya ialah 10.0. Dalam keadaan tertentu, pengguna tanpa pengesahan boleh membaca fail arbitrari daripada pelayan GitLab. Ini bukan sekadar risiko teori: CISA telah menyenaraikannya sebagai kelemahan yang diketahui dieksploitasi, manakala penyelidik keselamatan melaporkan aktiviti imbasan atau percubaan eksploitasi terhadap instans yang terdedah ke internet sejurus selepas tampalan diterbitkan. 32122

Keutamaan segera: naik taraf sekarang

Jika instans GitLab self-managed anda menggunakan keluaran terjejas, naik taraf secepat mungkin kepada salah satu versi berikut:

• 19.1.8 atau lebih baharu
• 19.2.6 atau lebih baharu
• 19.3.2 atau lebih baharu

Versi GitLab CE/EE yang terjejas ialah 18.7 sebelum 19.1.8, 19.2 sebelum 19.2.6, dan 19.3 sebelum 19.3.2. GitLab mengeluarkan pembaikan pada 10 September 2026. 37

CISA, agensi keselamatan siber dan infrastruktur Amerika Syarikat, memasukkan CVE-2026-85706 ke dalam katalog Known Exploited Vulnerabilities (KEV) pada 11 September, dengan tarikh akhir tindakan 14 September untuk agensi awam persekutuan AS yang tertakluk kepadanya. Tarikh itu tidak secara automatik terpakai kepada organisasi swasta, tetapi ia menunjukkan tahap segera bagi mana-mana pemasangan self-managed yang boleh dicapai dari internet. 3

Apa yang boleh dilakukan oleh kelemahan ini

Isu ini berada dalam Repository Commits API GitLab. Punca yang didokumenkan ialah kawalan laluan yang dibekalkan pengguna tidak dihadkan dengan betul, digabungkan dengan penguatkuasaan pengesahan yang hilang. Keadaan itu boleh membolehkan peminta tanpa pengesahan membaca fail arbitrari yang boleh dicapai oleh perkhidmatan GitLab. 3

Ini pada asasnya ialah kelemahan pendedahan fail. Laporan yang dibekalkan tidak membuktikan bahawa CVE-2026-85706 sahaja memberi pelaksanaan kod jauh (remote code execution, RCE). Namun, pembacaan fail arbitrari boleh mendedahkan bahan yang diperlukan untuk kompromi susulan, bergantung pada konfigurasi pelayan—contohnya tetapan aplikasi, token, kunci SSH, kelayakan pangkalan data dan rahsia lain yang boleh dibaca oleh proses GitLab. 925

Mengapa eksploitasi aktif mengubah tindak balas

WatchTowr melaporkan bahawa ia memerhati percubaan terhadap kelemahan ini di dunia sebenar, termasuk melalui rangkaian honeypot pada 11 September. Kemasukan dalam katalog KEV CISA juga merupakan isyarat penting: katalog itu bertujuan mengenal pasti kelemahan yang mempunyai bukti eksploitasi di dunia sebenar. 222

Laporan awam mengesahkan aktiviti pengimbasan dan eksploitasi, tetapi tidak mengenal pasti seorang pelaku tunggal, memberikan jumlah mangsa yang boleh dipercayai, atau membuktikan rantaian pasca-eksploitasi yang seragam. Jangan anggap pelayan yang terdedah selamat hanya kerana tiada laporan pencerobohan yang diketahui.

Anggap instans terdedah sebagai insiden pendedahan rahsia

Menampal sistem menghentikan tingkah laku rentan, tetapi tidak menarik balik data yang mungkin sudah dibaca. Bagi pelayan terjejas yang terdedah ke internet, simpan bukti dan nilai terlebih dahulu fail yang boleh dicapai oleh akaun perkhidmatan GitLab sebelum memulakan pembersihan menyeluruh.

Utamakan semakan serta penggiliran atau penukaran kelayakan yang mungkin boleh dicapai, termasuk:

• Rahsia aplikasi dan konfigurasi GitLab
• Kelayakan pangkalan data, Redis, storan objek, registri, SMTP, perkhidmatan direktori dan penyedia identiti yang tersimpan dalam konfigurasi
• Pemboleh ubah CI/CD, token pelaksanaan (deploy token), token akses, token runner, deploy key, serta kelayakan yang dipasang untuk tugas atau integrasi
• Kunci awan, kelayakan registri pakej, kunci tandatangan serta kunci peribadi SSH atau TLS yang boleh dicapai oleh hos atau proses GitLab

Penggiliran rahsia perlu dirancang dengan teliti. Menukar rahsia aplikasi atau tetapan berkaitan penyulitan boleh membatalkan sesi serta mengganggu tetapan atau integrasi yang disulitkan. Simpan log dan bukti konfigurasi yang relevan dahulu, sediakan langkah pemulihan, kemudian tukar ganti kelayakan berisiko tinggi secara berperingkat dan terkawal.

Pengesanan: lokasi yang perlu disemak

Petunjuk awal yang berguna ialah permintaan HTTP POST ke laluan Repository Commits API:

/api/v4/projects/<id>/repository/commits/

Laporan secara khusus menyarankan pencarian permintaan yang mengandungi parameter file.path. Semak log proksi songsang, pengimbang beban, WAF dan log akses GitLab Rails untuk permintaan tanpa pengesahan yang luar biasa, input berkod yang menyerupai traversal, ID projek yang tidak dijangka, kegagalan berulang, corak enumerasi atau saiz respons yang tidak normal. 212426

Siasat juga aktiviti yang mungkin berkaitan selepas tempoh pendedahan disyaki, seperti token yang baru dicipta atau digunakan, pendaftaran runner, perubahan pemboleh ubah CI/CD atau definisi saluran paip, import yang luar biasa, aktiviti GraphQL dan sambungan keluar yang tidak dijangka. Panduan sekitar keluaran ini turut meminta semakan komit, langganan GraphQL, import projek serta saluran paip CI/CD. 23

Carian log yang tidak menemui apa-apa bukan bukti muktamad bahawa pelayan selamat. Pengekalan log mungkin terhad, log aplikasi mungkin tidak merakam butiran permintaan yang relevan, dan rekod proksi atau WAF mungkin satu-satunya bukti yang tersedia.

Kawalan sementara jika naik taraf tertangguh

Naik taraf ialah pembaikan yang diperlukan. Jika naik taraf kecemasan tidak boleh dilakukan serta-merta, kurangkan pendedahan dengan mengehadkan akses ke perkhidmatan web dan API GitLab kepada VPN atau rangkaian yang diluluskan. Peraturan proksi songsang atau WAF yang mengehadkan laluan Repository Commits API yang terjejas secara ketat mungkin mengurangkan risiko buat sementara waktu, tetapi boleh menjejaskan automasi yang sah dan bukan pengganti kepada tampalan.

Bagi setiap pelayan terjejas, urutan tindak balas yang praktikal ialah:

1. Kenal pasti dan utamakan instans self-managed yang boleh dicapai dari luar.
2. Naik taraf kepada 19.1.8, 19.2.6, 19.3.2 atau keluaran lebih baharu.
3. Sahkan versi yang sedang berjalan selepas perubahan dibuat.
4. Simpan dan semak log untuk petunjuk eksploitasi.
5. Tukar ganti rahsia yang berpotensi terdedah berdasarkan capaian pelayan dan kesan kepada operasi.

Kelemahan lain dalam keluaran sama

Laporan keselamatan bagi keluaran sama turut menyebut dua isu GitLab Enterprise Edition:

• CVE-2026-87719 dilaporkan sebagai isu penyahserialan tidak selamat yang memerlukan pengesahan, dengan skor CVSS 9.9, dan dikaitkan dalam sesetengah laporan dengan pendedahan konfigurasi serta kelayakan Advanced Search. 6
• CVE-2026-88765 dilaporkan sebagai risiko pelaksanaan kod jauh yang memerlukan pengesahan, melibatkan import eksport projek Git yang direka khas, dengan skor CVSS 8.5. 625

Prasyarat dan kesan kedua-dua kelemahan itu berbeza daripada CVE-2026-85706. Namun, bagi pemasangan GitLab self-managed yang terdedah, kelemahan pembacaan fail tanpa pengesahan dan sedang dieksploitasi ini harus kekal sebagai keutamaan pertama untuk pembendungan serta respons insiden.