В известной платформе DevSecOps GitLab выявлена критическая уязвимость CVE-2026-85706, получившая наивысшую оценку в 10 баллов по системе оценки CVSS. Американское ведомство CISA включило эту брешь в список активно используемых уязвимостей (KEV) и предоставило государственным структурам всего три дня на установку исправлений.
Неисправность связана с API коммитов репозитория и затрагивает версии GitLab Community и Enterprise Edition от 18.7 до 19.3.1 включительно. Вследствие отсутствия проверки подлинности и ошибок в ограничении доступа, неавторизованный злоумышленник может, используя один HTTP-запрос, обойти установленные границы каталога и получить доступ к любым файлам на сервере, включая конфиденциальные настройки, токены авторизации и учетные данные.
Команда разработчиков выпустила срочные обновления 10 сентября, однако уже через сутки специалисты по информационной безопасности зафиксировали масштабное автоматизированное сканирование сети с целью поиска уязвимых систем.
Наибольшей опасности подвержены пользователи локальных (self-managed) установок, которым необходимо самостоятельно устанавливать патчи. Облачные сервисы GitLab.com и GitLab Dedicated были обновлены провайдером. Специалисты по информационной безопасности настоятельно советуют администраторам как можно скорее обновить платформу до безопасных версий 19.3.2, 19.2.6 или 19.1.8, а также сменить все секреты, хранящиеся на серверах.
