CVE-2026-85706 в GitLab: активно эксплуатируемая уязвимость CVSS 10.0 требует срочного обновления

Что нужно сделать немедленно

CVE-2026-85706 — критическая уязвимость обхода путей (path traversal) в самостоятельно развёрнутых GitLab Community Edition (CE) и Enterprise Edition (EE). Её оценка по CVSS 3.1 — 10,0 из 10. При определённых условиях неаутентифицированный пользователь может прочитать произвольные файлы, доступные серверу GitLab. Это не только теоретический риск: CISA внесло уязвимость в каталог Known Exploited Vulnerabilities (KEV), а исследователи зафиксировали попытки эксплуатации в интернете вскоре после выхода патчей. 32122

Если у вас есть собственная инсталляция GitLab в затронутой ветке, обновитесь как можно скорее до одной из исправленных версий:

• 19.1.8 или новее;
• 19.2.6 или новее;
• 19.3.2 или новее.

Под угрозой находятся GitLab CE/EE версий 18.7 до 19.1.8, 19.2 до 19.2.6 и 19.3 до 19.3.2. Исправления были выпущены 10 сентября 2026 года. 37

11 сентября CISA — американское Агентство по кибербезопасности и защите инфраструктуры — добавило CVE-2026-85706 в каталог KEV. Для охватываемых этим требованием гражданских федеральных ведомств США срок устранения был установлен на 14 сентября. Частным организациям этот срок формально не предписан, но он наглядно показывает срочность ситуации, особенно для доступных из интернета серверов. 3

В чём суть уязвимости

Проблема находится в API GitLab для коммитов репозитория — Repository Commits API. Согласно описанию, причина — недостаточное ограничение путей, контролируемых пользователем, в сочетании с отсутствием обязательной аутентификации. В результате внешний пользователь без учётной записи мог получить доступ к произвольным файлам, которые доступны службе GitLab. 3

Это прежде всего уязвимость раскрытия файлов, а не подтверждённое само по себе удалённое выполнение кода. Однако чтение произвольных файлов может дать злоумышленнику материал для дальнейшей атаки: конфигурацию приложения, токены, SSH-ключи, учётные данные базы данных и другие секреты, доступные процессу GitLab. Конкретный объём риска зависит от конфигурации сервера. 925

Почему сообщения об эксплуатации меняют приоритет

Компания watchTowr сообщила о попытках эксплуатации «в дикой природе», в том числе о запросах, обнаруженных её сетью honeypot 11 сентября. Включение CVE в KEV также является весомым сигналом: этот каталог предназначен для уязвимостей, по которым есть подтверждения эксплуатации. 222

При этом открытые сообщения не называют единственного виновника атак, не дают достоверного числа пострадавших и не подтверждают универсальную цепочку дальнейшего взлома. Отсутствие известного публичного инцидента не означает, что доступный извне сервер не проверяли и не атаковали.

Считайте внешний сервер потенциальным инцидентом с утечкой секретов

Установка обновления прекращает работу уязвимого механизма, но не отменяет уже возможное чтение данных. Для затронутого сервера, доступного из интернета, сначала сохраните доказательства и оцените, к чему имела доступ служебная учётная запись GitLab, а затем переходите к масштабной замене секретов.

В приоритете должны быть проверка и ротация:

• секретов приложения и конфигурации GitLab;
• учётных данных для базы данных, Redis, объектного хранилища, реестра контейнеров, SMTP, служб каталогов и провайдеров идентификации, сохранённых в конфигурации;
• переменных CI/CD, deploy-токенов, токенов доступа, токенов раннеров, deploy-ключей и данных, подключаемых к задачам или интеграциям;
• облачных ключей, учётных данных реестров пакетов, ключей подписи, а также закрытых SSH- и TLS-ключей, доступных хосту или процессу GitLab.

Ротацию важно планировать аккуратно. Изменение секретов приложения или настроек, связанных с шифрованием, может сбросить сессии и нарушить работу зашифрованных настроек либо интеграций. Сначала сохраните относящиеся к инциденту журналы и конфигурацию, подготовьте план восстановления, затем меняйте наиболее рискованные учётные данные в контролируемой последовательности.

Где искать признаки атаки

Первичный индикатор — HTTP-запрос методом POST к пути Repository Commits API:

/api/v4/projects/<id>/repository/commits/

В публикациях по этой уязвимости рекомендуется искать запросы с параметром file.path. Проверьте логи обратного прокси, балансировщика, WAF и GitLab Rails: особое внимание стоит уделить необычным неаутентифицированным запросам, закодированным последовательностям, похожим на обход каталогов, неожиданным ID проектов, повторяющимся ошибкам, перечислению ресурсов и аномально большим ответам. 212426

После предполагаемого периода компрометации проверьте и связанную активность: создание или использование новых токенов, регистрацию раннеров, изменения переменных CI/CD или определений пайплайнов, необычные импорты, активность GraphQL и неожиданные исходящие соединения. Рекомендации, опубликованные после выхода патчей, также предлагают проверить коммиты, GraphQL-подписки, импорты проектов и пайплайны CI/CD. 23

Отсутствие совпадений в логах не доказывает, что атаки не было. Журналы могли быть удалены по сроку хранения, приложение могло не записать нужные детали запроса, а единственные следы могли остаться на уровне прокси или WAF.

Временные меры, если обновление задерживается

Полноценное устранение проблемы — только обновление. Если аварийно обновиться прямо сейчас невозможно, временно сократите поверхность атаки: ограничьте доступ к веб-интерфейсу и API GitLab только через VPN или разрешённые сети. Строгое ограничение уязвимого маршрута Repository Commits API на обратном прокси или WAF может кратковременно снизить риск, но способно сломать штатную автоматизацию и не заменяет патч.

Практический порядок действий для каждого затронутого сервера:

1. Выявить и расставить приоритеты для самостоятельно развёрнутых экземпляров, особенно доступных извне.
2. Обновить GitLab до 19.1.8, 19.2.6, 19.3.2 либо более новой версии.
3. Проверить фактически запущенную версию после обновления.
4. Сохранить и проанализировать журналы на предмет признаков эксплуатации.
5. Заменить потенциально раскрытые секреты с учётом доступов сервера и влияния на бизнес-процессы.

Другие уязвимости из того же релиза

В том же обновлении были устранены и две проблемы GitLab Enterprise Edition:

• CVE-2026-87719 — уязвимость небезопасной десериализации, требующая аутентификации, с оценкой CVSS 9,9; в некоторых публикациях она связывается с раскрытием конфигурации и учётных данных Advanced Search. 6
• CVE-2026-88765 — риск удалённого выполнения кода для аутентифицированного пользователя при импорте специально подготовленного экспорта Git-проекта; заявленная оценка CVSS — 8,5. 625

У этих проблем другие условия эксплуатации и последствия. Но для доступных извне самостоятельно развёрнутых GitLab первоочередной задачей остаётся CVE-2026-85706: она не требует аутентификации и уже привлекла внимание атакующих.