GitLab-felet CVE-2026-85706 utnyttjas aktivt – uppdatera egen drift nu

CVE-2026-85706 är en sårbarhet med högsta allvarlighetsgrad i självhanterade GitLab Community Edition (CE) och Enterprise Edition (EE). Felet har CVSS 3.1-poängen 10,0 och kan, under vissa förutsättningar, låta en obehörig användare läsa godtyckliga filer från en GitLab-server. Det är inte bara en teoretisk risk: USA:s cybersäkerhetsmyndighet CISA har klassat sårbarheten som känd utnyttjad, och säkerhetsforskare rapporterade om avsökningar mot internetexponerade instanser kort efter att patcharna släppts. 32122

Det viktigaste just nu: uppdatera

Om en självhanterad GitLab-instans kör en berörd version bör den uppgraderas snarast till en korrigerad version:

• 19.1.8 eller senare
• 19.2.6 eller senare
• 19.3.2 eller senare

Berörda versionsintervall är GitLab CE/EE 18.7 före 19.1.8, 19.2 före 19.2.6 och 19.3 före 19.3.2. GitLab släppte korrigeringarna den 10 september 2026. 37

CISA lade till CVE-2026-85706 i sin katalog Known Exploited Vulnerabilities (KEV) den 11 september, med den 14 september som åtgärdsdatum för berörda federala civila myndigheter i USA. Fristen gäller inte automatiskt privata organisationer, men signalerar hur brådskande läget är för alla självhanterade installationer som nås från internet. 3

Så fungerar sårbarheten

Felet finns i GitLabs Repository Commits API. Den dokumenterade grundorsaken är en kombination av bristfällig begränsning av sökvägar som kontrolleras av användaren och utebliven autentiseringskontroll. En obehörig begäran kan därmed, under vissa förutsättningar, användas för att läsa godtyckliga filer som GitLab-tjänsten har åtkomst till. 3

Det handlar i första hand om filutlämning, inte om fjärrkörning av kod. Underlaget visar inte att CVE-2026-85706 ensamt ger fjärrkörning av kod. Men läsning av godtyckliga filer kan ge åtkomst till sådant som behövs i ett senare angrepp: exempelvis programkonfiguration, tokenar, SSH-nycklar, databasuppgifter och andra hemligheter som GitLab-processen kan läsa. 925

Varför aktivt utnyttjande höjer kravet på åtgärd

WatchTowr rapporterade att man sett avsökningar i det vilda, bland annat via sitt honeypot-nätverk den 11 september. CISA:s KEV-listning är också en viktig varningssignal: katalogen ska identifiera sårbarheter där det finns belägg för utnyttjande i praktiken. 222

Rapporteringen bekräftar avsökning och exploateringsaktivitet, men pekar inte ut någon enskild ansvarig aktör, ger ingen tillförlitlig siffra över antalet drabbade och styrker ingen universell angreppskedja efter intrånget. Avsaknad av en offentlig incidentrapport är därför inte bevis för att en exponerad server inte har berörts.

Hantera exponerade servrar som möjlig hemlighetsexponering

En patch stoppar det sårbara beteendet, men kan inte ta tillbaka data som redan kan ha lästs. För en berörd, internetexponerad server bör bevis säkras och GitLab-tjänstkontots åtkomst bedömas innan en omfattande sanering inleds.

Prioritera granskning och rotation av uppgifter som kan ha varit åtkomliga, bland annat:

• GitLabs program- och konfigurationshemligheter
• Uppgifter till databas, Redis, objektlagring, containerregister, SMTP, katalogtjänst och identitetsleverantör som finns i konfigurationen
• CI/CD-variabler, deploy-tokenar, åtkomsttokenar, runner-tokenar, deploy-nycklar och uppgifter som monterats för jobb eller integrationer
• Molnnycklar, uppgifter till paketregister, signeringsnycklar samt privata SSH- eller TLS-nycklar som värden eller GitLab-processen kan läsa

Rotationen behöver planeras. Ändringar av programhemligheter eller krypteringsrelaterade inställningar kan ogiltigförklara sessioner och störa krypterade inställningar eller integrationer. Spara därför relevanta loggar och konfigurationsunderlag först, planera återställning och rotera de mest riskfyllda uppgifterna i en kontrollerad ordning.

Spår att leta efter i loggarna

En användbar första indikator är HTTP-POST-anrop mot Repository Commits API:s sökväg:

/api/v4/projects/<id>/repository/commits/

Rapporter rekommenderar särskilt att leta efter anrop som innehåller parametern file.path. Granska åtkomstloggar från reverse proxy, lastbalanserare, WAF och GitLab Rails för ovanliga obehöriga anrop, kodade indata som liknar sökvägstraversering, oväntade projekt-ID:n, upprepade fel, kartläggningsmönster eller avvikande svarsstorlekar. 212426

Utred även potentiellt relaterad aktivitet efter det misstänkta exponeringsfönstret, exempelvis nya eller använda tokenar, runner-registreringar, ändrade CI/CD-variabler eller pipeline-definitioner, ovanliga importer, GraphQL-aktivitet och oväntade utgående anslutningar. Vägledning kring releasen uppmanar också till granskning av commits, GraphQL-prenumerationer, projektimporter och CI/CD-pipelines. 23

En loggsökning utan träffar är inte avgörande. Loggretentionen kan vara kort, applikationsloggningen kan sakna relevanta detaljer och proxy- eller WAF-loggar kan vara de enda bevarade spåren.

Tillfälliga skydd om uppgraderingen dröjer

Uppgradering är den nödvändiga åtgärden. Om en akut uppgradering inte kan genomföras direkt bör åtkomsten till GitLabs webb- och API-tjänst begränsas till VPN eller godkända nätverk. En reverse proxy- eller WAF-regel som strikt begränsar den berörda Repository Commits API-routen kan minska risken kortsiktigt, men kan slå ut legitim automatisering och ersätter inte patchning.

Den praktiska ordningen för varje berörd server är:

1. Identifiera och prioritera självhanterade instanser som är nåbara utifrån.
2. Uppgradera till 19.1.8, 19.2.6, 19.3.2 eller en senare version.
3. Verifiera den körande versionen efter ändringen.
4. Säkra och granska loggar efter indikatorer på utnyttjande.
5. Rotera potentiellt exponerade hemligheter utifrån serverns åtkomst och verksamhetspåverkan.

Övriga sårbarheter i releasen

Samma säkerhetsrapportering beskrev också två Enterprise Edition-problem som åtgärdades i releasen:

• CVE-2026-87719 rapporteras vara ett autentiserat problem med osäker deserialisering, med CVSS 9,9, och kopplas i viss rapportering till exponering av Advanced Search-konfiguration och autentiseringsuppgifter. 6
• CVE-2026-88765 rapporteras vara en risk för autentiserad fjärrkörning av kod vid import av en manipulerad Git-projektexport, med rapporterad CVSS-poäng 8,5. 625

Dessa sårbarheter har andra förutsättningar och effekter än CVE-2026-85706. Den obehöriga och aktivt utnyttjade filsårbarheten bör fortsatt vara första prioritet för begränsning och incidenthantering i exponerade, självhanterade GitLab-installationer.