GitLab: уязвимость 10 из 10
Следите за новостями по этой теме!
Подписаться на «Гик Гайд (3 апельсина) / Цифра сегодня»
Американское Агентство по кибербезопасности и безопасности инфраструктуры (CISA) внесло критическую уязвимость GitLab CVE-2026-85706 в каталог Known Exploited Vulnerabilities (KEV) — перечень уязвимостей, которые уже используются злоумышленниками. Для организаций это не академическое предупреждение и не просьба «заняться вопросом при случае»: системам GitLab требуется как можно скорее установить исправления.
Проблема получила максимальную оценку критичности — 10 баллов из 10. Она обнаружена в API коммитов репозитория, то есть в интерфейсе, через который GitLab работает с изменениями в проектах. Ошибка связана сразу с двумя недостатками: система недостаточно проверяет аутентификацию и неправильно ограничивает путь к файлам. В результате атакующий без учётной записи может получить доступ к произвольным файлам и прочитать чувствительные данные, включая логины, пароли и секреты.
GitLab выпустил обновления Community Edition (CE) и Enterprise Edition (EE). Исправленные версии — 19.3.2, 19.2.6 и 19.1. Обновления устраняют несколько проблем, в том числе две уязвимости критического уровня: CVE-2026-85706, связанную с обходом ограничений доступа к файлам, и ошибку небезопасной десериализации в сериализаторе подписок GraphQL. Десериализация — это преобразование данных из сохранённого или переданного формата обратно в объект; если процесс защищён плохо, он может стать точкой для атаки.
В собственном уведомлении GitLab не указала, что CVE-2026-85706 уже атакуют. Однако на следующий день исследовательская компания watchTowr сообщила, что наблюдает попытки эксплуатации уязвимости в интернете. По данным специалистов, злоумышленнику достаточно одного HTTP-запроса, чтобы попытаться прочитать произвольный файл.
Эксперты советуют администраторам проверить журналы серверов. Особое внимание следует уделить HTTP POST-запросам к адресам вида /api/v4/projects/{id}/repository/commits/, в которых присутствует параметр file.path. Такие записи могут указывать на попытку эксплуатации.
CISA, добавив CVE-2026-85706 в каталог KEV, фактически подтвердила, что риск не ограничивается лабораторными сценариями. Для государственных организаций США установлен срок в три дня на установку исправления. Частным компаниям этот срок формально может не предписываться, но сама причина спешки от этого не исчезает: украденные из GitLab секреты способны открыть путь к исходному коду, инфраструктуре и другим системам.
GitLab — платформа для DevSecOps, то есть для автоматизации разработки программ и одновременного контроля её безопасности. По данным документации, поданной в SEC, у сервиса более 50 млн зарегистрированных пользователей; около половины компаний из списка Fortune 100 используют GitLab. Поэтому проблема касается не только отдельных серверов, а потенциально большого числа организаций и проектов.
PEREC.RU
Десять из десяти — оценка, которой обычно хвастаются в рекламе, а здесь она означает, что у кого-то чужой сервер может стать открытой книгой. Неловкость в том, что цифровая безопасность годами продаётся как преимущество продукта, а оплачивается часто по остаточному принципу — до того дня, когда слово «срочно» начинает мигать ярче панели мониторинга.
Для организаций это не экзамен на знание аббревиатур, а проверка управленческой привычки: кто следит за обновлениями, кто отвечает за старые инсталляции, кто знает, где вообще лежит код компании. В такой момент выясняется, что инфраструктура может быть критической, а бюджет на её обслуживание — удивительно гибким. Обычно гибкость заканчивается при виде утечки.
Показательно и расхождение между формальным уведомлением поставщика и сообщениями исследователей о попытках эксплуатации. Вежливый корпоративный язык умеет долго обходить слово «прямо сейчас», но злоумышленникам не требуется дождаться пресс-релиза с правильно расставленными акцентами. Интернет давно освоил этот жанр опережающего чтения.
Каталог CISA превращает риск в срок, а срок — в приказ для тех, кому его выдали. Частным компаниям можно сослаться на отсутствие такого же формального дедлайна, но секреты в репозитории от этого не становятся менее полезными для чужих рук. Регуляторная обязанность заканчивается на бумаге; последствия обычно продолжают работать.
GitLab занимает заметное место в разработке, поэтому история не про один неудачный сервер. Она про привычку считать платформу для кода нейтральным фоном, хотя там хранятся ключи от остальных комнат. Виноватого удобно искать после инцидента — поставщика, администратора или безликую «сложность систем». Исправление же требует менее драматичного действия: регулярно обслуживать то, от чего зависит бизнес, даже когда за это никто не вручает премию.
