Angripere utnytter en kritisk GitLab-sårbarhet for å stjele sensitive data fra servere som ikke er oppdatert. Forskere har funnet 12 offentlige repositorier med utnyttelseskode, mens rundt 13 700 eksponerte systemer fortsatt kan være sårbare.
Angripere utnytter kritisk GitLab-sårbarhet
Sårbarheten, som spores som CVE-2026-85706, påvirker GitLab Community Edition og Enterprise Edition. Den har fått høyest mulig alvorlighetsgrad.
Censys oppdaget minst 12 separate offentlige repositorier som inneholder utnyttelseskode for sårbarheten. Samtidig retter trusselaktører aktive angrep mot GitLab-instanser som er tilgjengelige via internett.
USAs Cybersecurity and Infrastructure Security Agency bekreftet den aktive utnyttelsen. CISA la sårbarheten til i sin Known Exploited Vulnerabilities-katalog 11. september.
Myndigheten ga deretter føderale organisasjoner tre dager på seg til å iverksette de nødvendige sikkerhetstiltakene.
GitLab tilbyr en egenhostet plattform for programvareutvikling, sikkerhet og IT-drift. Ifølge en regulatorisk innlevering har tjenesten mer enn 50 millioner registrerte brukere. Halvparten av selskapene på Fortune 100-listen bruker også plattformen.
Path traversal-feil eksponerer sensitive filer
CVE-2026-85706 er en path traversal-sårbarhet. Under visse forhold kan en uautentisert angriper utnytte den til å lese vilkårlige filer fra en sårbar server.
Offentlig utnyttelseskode viser hvordan angripere kan få tilgang til filen gitlab-secrets.json. Denne filen inneholder nøkler som GitLab bruker til å kryptere hemmeligheter som lagres på plattformen.
Disse hemmelighetene kan omfatte CI/CD-variabler, deploy-nøkler og integrasjonstokener. Utviklingspipelines er avhengige av slike påloggingsopplysninger for å koble seg til andre tjenester.
Som et resultat kan angripere få tilgang til skykontoer, containerregistre og kildekoderepositorier. Deretter kan de bruke de stjålne påloggingsopplysningene til å gjennomføre et bredere angrep mot programvareforsyningskjeden.
Organisasjoner behandler ofte GitLab både som et utviklingsverksted og et sikkert hvelv. Instanser kan inneholde proprietær kildekode, automatiseringsskript, sikkerhetspolicyer og andre sensitive interne ressurser.
Derfor kan uautorisert tilgang skape risiko langt utover den opprinnelige GitLab-serveren.
Tusenvis av servere er fortsatt sårbare
Censys identifiserte 86 231 internetteksponerte verter som kjører GitLab. Disse serverne tilsvarte 208 186 individuelle webegenskaper.
Kina hadde det største antallet eksponerte verter, med 19 435 systemer. USA fulgte med 13 242, mens Tyskland hadde 12 249.
Forskerne telte også 8 639 eksponerte verter i Russland og 5 062 i Frankrike. Andre land sto for de resterende systemene.
Eksponering alene betyr imidlertid ikke at hver server fortsatt er sårbar. Data fra Shadowserver Foundation viser at minst 13 700 eksponerte systemer fortsatt mangler beskyttelse mot CVE-2026-85706.
USA skal ha den største andelen av disse sårbare serverne.
Organisasjoner bør rotere lagrede påloggingsopplysninger
Censys advarte organisasjoner om å behandle påloggingsopplysninger som er lagret på sårbare internetteksponerte instanser, som potensielt kompromitterte.
Administratorer bør umiddelbart rotere CI/CD-hemmeligheter, deploy-nøkler og integrasjonstokener. De bør også undersøke GitLab-miljøene sine for tegn på uautorisert tilgang.
Denne gjennomgangen bør også omfatte tilkoblede skyplattformer, repositorier og containerregistre. Angripere kan bruke stjålne påloggingsopplysninger etter at administratorer har oppdatert den opprinnelige GitLab-serveren.
Dermed er det ikke nødvendigvis nok å installere en oppdatering for å fjerne den bredere risikoen. Organisasjoner må også ugyldiggjøre eksponerte hemmeligheter og undersøke tilkoblede tjenester for mistenkelig aktivitet.
GitLab lanserer kritiske sikkerhetsoppdateringer
GitLab rettet CVE-2026-85706 i en sikkerhetsoppdatering som fikset 18 sårbarheter. Oppdateringen inkluderte patcher for to kritiske sikkerhetsfeil.
Selskapet anbefaler på det sterkeste at alle egenadministrerte installasjoner oppgraderes til en av de nyeste rettede versjonene:
- GitLab 19.3.2
- GitLab 19.2.6
- GitLab 19.1.8
Dette er den andre kritiske GitLab-sårbarheten som påvirker uautentiserte brukere på mindre enn én måned.
GitLab offentliggjorde en separat kritisk GraphQL-sårbarhet 17. august. Angripere begynte å utnytte den mindre enn 24 timer senere for å endre eller slette offentlige prosjekter og brukerdata.
Den nyeste GitLab-sårbarheten viser igjen hvor raskt angripere tar i bruk nylig offentliggjorte sikkerhetsfeil. Administratorer bør oppdatere umiddelbart, rotere eksponerte påloggingsopplysninger og undersøke alle berørte systemer.
0 responses to “GitLab-sårbarhet eksponerer hemmeligheter på tusenvis av servere”