GitLab CVE-2026-85706 активно експлуатують: власні інсталяції потрібно оновити негайно

CVE-2026-85706 — уразливість обходу каталогів (path traversal) максимальної критичності у самостійно керованих інсталяціях GitLab Community Edition (CE) та Enterprise Edition (EE). Вона має оцінку CVSS 3.1 10,0 і за певних умов дозволяє неавтентифікованому користувачеві читати довільні файли з сервера GitLab. Це не лише теоретичний ризик: CISA внесла проблему до свого каталогу відомих експлуатованих уразливостей, а дослідники зафіксували перевірки доступних з інтернету інсталяцій невдовзі після виходу патчів. 32122

Головне зараз — оновитися

Якщо самостійно керована інсталяція GitLab працює на вразливому релізі, її слід якнайшвидше оновити до однієї з виправлених версій:

• 19.1.8 або новішої;
• 19.2.6 або новішої;
• 19.3.2 або новішої.

Уразливими є GitLab CE/EE версій від 18.7 до 19.1.7, від 19.2.0 до 19.2.5 та від 19.3.0 до 19.3.1. GitLab випустила виправлення 10 вересня 2026 року. 37

CISA — Агентство США з кібербезпеки та безпеки інфраструктури — додало CVE-2026-85706 до каталогу Known Exploited Vulnerabilities (KEV) 11 вересня. Для цивільних федеральних установ США встановлено термін виконання до 14 вересня. Цей строк не поширюється автоматично на приватні організації, але він чітко вказує на нагальність ризику для будь-якого доступного з інтернету самостійно керованого розгортання. 3

У чому суть уразливості

Проблема міститься в API Repository Commits. Задокументована першопричина — неналежне обмеження шляхів, що контролюються користувачем, у поєднанні з відсутністю належної перевірки автентифікації. За таких умов неавтентифікований запитувач може прочитати довільні файли, доступні службі GitLab. 3

Це насамперед уразливість розкриття файлів, а не доведений самостійний шлях до віддаленого виконання коду. Водночас читання довільних файлів може відкрити дані, потрібні для подальшого компрометування: налаштування застосунку, токени, SSH-ключі, облікові дані баз даних та інші секрети, які може читати процес GitLab. Конкретний масштаб залежить від конфігурації сервера. 925

Чому активна експлуатація змінює пріоритети

WatchTowr повідомила про спостереження перевірочних запитів у реальних атаках, зокрема в її мережі honeypot-систем 11 вересня. Запис у KEV від CISA також є важливим сигналом: цей каталог призначений для вразливостей, щодо яких є підтвердження експлуатації «в дикій природі». 222

Публічні повідомлення підтверджують сканування та експлуатаційну активність, але не називають одного відповідального актора, не дають достовірної кількості постраждалих і не доводять універсального сценарію дій після проникнення. Відсутність відомого повідомлення про злам не означає, що відкритий сервер ніхто не перевіряв.

Розглядайте відкриті інсталяції як потенційний витік секретів

Патч припиняє роботу вразливого механізму, але не повертає вже прочитані дані. Для ураженого сервера, доступного з інтернету, до масштабного очищення потрібно зберегти докази та оцінити, до чого мав доступ обліковий запис служби GitLab.

У першу чергу перегляньте та за потреби замініть:

• секрети застосунку GitLab і конфігурації;
• облікові дані баз даних, Redis, об’єктного сховища, реєстру контейнерів, SMTP, служб каталогів та постачальників ідентифікації, якщо вони зберігаються в конфігурації;
• змінні CI/CD, deploy-токени, токени доступу, токени runner-ів, deploy-ключі та облікові дані, підключені до завдань чи інтеграцій;
• хмарні ключі, дані доступу до реєстрів пакетів, ключі підпису, а також приватні SSH- чи TLS-ключі, доступні хосту або процесу GitLab.

Ротацію слід планувати обережно. Зміна секретів застосунку або параметрів, пов’язаних із шифруванням, може скинути сеанси та порушити роботу зашифрованих налаштувань чи інтеграцій. Спершу збережіть релевантні журнали й конфігураційні дані, визначте кроки відновлення, а потім змінюйте найризикованіші секрети в контрольованій послідовності.

Що шукати в журналах

Початковий індикатор — HTTP-запит POST до шляху Repository Commits API:

/api/v4/projects/<id>/repository/commits/

У повідомленнях про інцидент окремо рекомендовано шукати запити з параметром file.path. Перевірте журнали зворотного проксі, балансувальника навантаження, WAF та GitLab Rails: звертайте увагу на незвичні неавтентифіковані запити, закодовані елементи, схожі на обхід каталогів, неочікувані ID проєктів, повторювані помилки, спроби перебору та аномальний розмір відповідей. 212426

Також розслідуйте активність після ймовірного періоду компрометації: створення або використання нових токенів, реєстрацію runner-ів, зміни змінних CI/CD або визначень пайплайнів, підозрілі імпорти, активність GraphQL та неочікувані вихідні з’єднання. Рекомендації, оприлюднені навколо релізу, також передбачають перевірку комітів, підписок GraphQL, імпортів проєктів і CI/CD-пайплайнів. 23

Відсутність збігів у журналах не є остаточним доказом безпеки: дані могли не зберегтися, журнали застосунку могли не зафіксувати потрібні деталі, а записи проксі або WAF можуть бути єдиним доступним джерелом.

Тимчасові обмеження, якщо оновлення затримується

Необхідним виправленням залишається оновлення. Якщо виконати аварійне оновлення негайно неможливо, зменште ризик: обмежте доступ до вебінтерфейсу та API GitLab через VPN або лише з дозволених мереж. Правило на зворотному проксі чи WAF, яке жорстко обмежує уражений маршрут Repository Commits API, може тимчасово знизити ризик, але здатне зламати легітимну автоматизацію й не замінює встановлення патчу.

Практична послідовність дій для кожного ураженого сервера:

1. Виявити та пріоритизувати самостійно керовані інсталяції, особливо доступні ззовні.
2. Оновити GitLab до 19.1.8, 19.2.6, 19.3.2 або новішої версії.
3. Перевірити фактично запущену версію після оновлення.
4. Зберегти та проаналізувати журнали на індикатори експлуатації.
5. Замінити потенційно скомпрометовані секрети з урахуванням доступу сервера та впливу на роботу бізнесу.

Інші уразливості в цьому релізі

У тих самих повідомленнях про безпековий реліз згадано ще дві проблеми Enterprise Edition:

• CVE-2026-87719 описують як автентифіковану проблему небезпечної десеріалізації з CVSS 9,9, яку в окремих повідомленнях пов’язують із розкриттям конфігурації та облікових даних Advanced Search. 6
• CVE-2026-88765 описують як ризик віддаленого виконання коду для автентифікованого користувача через імпорт спеціально сформованого експорту Git-проєкту; заявлена оцінка CVSS — 8,5. 625

Ці проблеми мають інші передумови та наслідки, ніж CVE-2026-85706. Для доступних з інтернету самостійно керованих інсталяцій GitLab першочерговими залишаються локалізація ризику та реагування на неавтентифіковану уразливість читання файлів, яку вже експлуатують.