GitLab: una vulnerabilidad de 10 sobre 10
La Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos (CISA) ha incluido la vulnerabilidad crítica CVE-2026-85706 de GitLab en el catálogo Known Exploited Vulnerabilities (KEV), una lista de vulnerabilidades que ya están utilizando los atacantes. Para las organizaciones, no es una advertencia académica ni una petición de «ocuparse del asunto cuando haya ocasión»: los sistemas GitLab necesitan instalar las correcciones cuanto antes.
El problema ha recibido la máxima puntuación de gravedad: 10 sobre 10. Se ha detectado en la API de commits del repositorio, es decir, en la interfaz que GitLab utiliza para gestionar los cambios en los proyectos. El error se debe a dos deficiencias a la vez: el sistema no comprueba suficientemente la autenticación y restringe de forma incorrecta las rutas a los archivos. Como resultado, un atacante sin cuenta puede acceder a archivos arbitrarios y leer datos confidenciales, incluidos nombres de usuario, contraseñas y secretos.
GitLab ha publicado actualizaciones para Community Edition (CE) y Enterprise Edition (EE). Las versiones corregidas son la 19.3.2, la 19.2.6 y la 19.1. Las actualizaciones solucionan varios problemas, entre ellos dos vulnerabilidades críticas: CVE-2026-85706, relacionada con la evasión de las restricciones de acceso a archivos, y un fallo de deserialización insegura en el serializador de suscripciones de GraphQL. La deserialización consiste en convertir datos guardados o transmitidos de nuevo en un objeto; si el proceso está mal protegido, puede convertirse en un punto de entrada para un ataque.
En su propio aviso, GitLab no indicó que CVE-2026-85706 ya estuviera siendo objeto de ataques. Sin embargo, al día siguiente la empresa de investigación watchTowr comunicó que estaba observando intentos de explotación en internet. Según los especialistas, al atacante le basta una sola solicitud HTTP para intentar leer un archivo arbitrario.
Los expertos aconsejan a los administradores revisar los registros de los servidores. Deben prestar especial atención a las solicitudes HTTP POST a direcciones del tipo /api/v4/projects/{id}/repository/commits/ que incluyan el parámetro file.path. Esas entradas pueden indicar un intento de explotación.
Al añadir CVE-2026-85706 al catálogo KEV, CISA ha confirmado, en la práctica, que el riesgo no se limita a escenarios de laboratorio. Las organizaciones públicas de Estados Unidos tienen un plazo de tres días para instalar la corrección. Puede que ese plazo no sea formalmente obligatorio para las empresas privadas, pero eso no elimina el motivo de la urgencia: los secretos robados de GitLab pueden abrir la puerta al código fuente, la infraestructura y otros sistemas.
GitLab es una plataforma DevSecOps, es decir, para automatizar el desarrollo de software y controlar al mismo tiempo su seguridad. Según la documentación presentada ante la SEC, el servicio tiene más de 50 millones de usuarios registrados; aproximadamente la mitad de las empresas de la lista Fortune 100 utiliza GitLab. Por eso, el problema no afecta solo a servidores aislados: potencialmente puede alcanzar a un gran número de organizaciones y proyectos.
PEREC.RU
La vulnerabilidad crítica CVE-2026-85706 de GitLab ha recibido la máxima puntuación, 10 sobre 10, y la Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos (CISA) la ha incluido en el catálogo Known Exploited Vulnerabilities (KEV). Este catálogo recoge vulnerabilidades que ya están siendo utilizadas o que, de forma confirmada, están siendo explotadas por atacantes. CISA ha fijado un plazo de tres días para instalar la corrección en las organizaciones públicas de Estados Unidos.
La vulnerabilidad se encuentra en la API de commits del repositorio de GitLab. El fallo se debe a la falta de controles adecuados de autenticación y a una restricción incorrecta del acceso a las rutas de archivos. Por ello, un atacante no autorizado puede leer archivos arbitrarios, incluidos los que contienen nombres de usuario, contraseñas y otros secretos. Los datos obtenidos pueden servir para penetrar después en el código fuente, los servidores y la infraestructura asociada.
GitLab ha publicado actualizaciones para Community Edition y Enterprise Edition: las versiones 19.3.2, 19.2.6 y 19.1. Estas versiones corrigen varias vulnerabilidades, incluidas dos críticas: CVE-2026-85706 y un problema de deserialización insegura en el serializador de suscripciones de GraphQL. La deserialización convierte los datos transmitidos en un objeto de software; si esta operación no está suficientemente protegida, crea un riesgo adicional para el servidor.
En su aviso oficial, GitLab no afirmó que CVE-2026-85706 ya se estuviera utilizando en ataques. Sin embargo, al día siguiente la empresa watchTowr informó de intentos de explotación observados en internet. Los investigadores señalaron que al atacante podría bastarle una sola solicitud HTTP para leer un archivo arbitrario. Recomiendan revisar los registros de los servidores y buscar solicitudes HTTP POST a direcciones del tipo /api/v4/projects/{id}/repository/commits/ que contengan el parámetro file.path.
GitLab es una plataforma DevSecOps, es decir, para automatizar el desarrollo de software y controlar su seguridad. Según la documentación presentada ante la SEC, cuenta con más de 50 millones de usuarios registrados y alrededor de la mitad de las empresas de la lista Fortune 100 utiliza la plataforma. Por tanto, la vulnerabilidad podría afectar a numerosas organizaciones. Aunque la orden de tres días de CISA se aplica a las entidades públicas de Estados Unidos, también se recomienda a las empresas privadas instalar las correcciones sin demora y comprobar si hay indicios de ataques en los registros.
