CISA har advaret om, at hackere aktivt udnytter en GitLab-sårbarhed med maksimal alvorlighedsgrad. Sårbarheden gør det muligt for uautoriserede angribere at læse legitimationsoplysninger, hemmeligheder og andre følsomme filer fra sårbare servere.
Sikkerhedsproblemet, der spores som CVE-2026-85706, påvirker GitLab Community Edition og Enterprise Edition. Administratorer bør straks installere de tilgængelige opdateringer og undersøge deres logfiler for tegn på udnyttelse.
GitLab-sårbarhed eksponerer følsomme serverfiler
CVE-2026-85706 kombinerer manglende håndhævelse af autentificering med forkert begrænsning af filstier i API’et for repository commits. Som følge heraf kan eksterne angribere udnytte svagheden uden at logge ind.
Et vellykket angreb gør det muligt for hackere at læse vilkårlige filer fra en berørt GitLab-server gennem en enkelt HTTP-anmodning. Disse filer kan indeholde legitimationsoplysninger, adgangstokens, konfigurationsoplysninger og andre fortrolige oplysninger.
GitLabs DevSecOps-platform har mere end 30 millioner registrerede brugere verden over. Desuden bruger mere end halvdelen af virksomhederne på Fortune 100-listen angiveligt platformen. Derfor kan omfattende udnyttelse påvirke mange værdifulde virksomhedsmiljøer.
Sårbarheden fik den højest mulige alvorlighedsgrad. Dens lave angrebskompleksitet og manglende krav om autentificering gør eksponerede servere særligt attraktive mål.
Angribere scanner internettet efter sårbare servere
GitLab rettede sårbarheden i Community Edition og Enterprise Edition version 19.3.2, 19.2.6 og 19.1. Virksomheden opfordrede også kunderne til straks at opdatere deres installationer.
En dag efter, at rettelserne blev tilgængelige, opdagede cybersikkerhedsvirksomheden watchTowr angribere, der scannede internettet efter sårbare GitLab-servere. Forskere advarede om, at vilkårlig udnyttelse sandsynligvis hurtigt ville følge.
GitLab havde på det tidspunkt ikke officielt markeret sårbarheden som aktivt udnyttet. Den observerede scanning viste dog, at angribere allerede var begyndt at lede efter systemer, der ikke var blevet opdateret.
Forsvarere bør undersøge deres serverlogfiler for mistænkelige HTTP POST-anmodninger rettet mod API’et for repository commits. Især kan anmodninger, der indeholder usædvanlige file.path-parametre, indikere et forsøg på udnyttelse.
CISA føjer sårbarheden til listen over udnyttede sårbarheder
CISA føjede CVE-2026-85706 til sit Known Exploited Vulnerabilities-katalog den 11. september. Agenturets beslutning bekræfter, at angribere har brugt GitLab-sårbarheden i virkelige hændelser.
Under Binding Operational Directive 26-04 fik amerikanske føderale civile myndigheder tre dage til at sikre berørte systemer. Kravet gælder specifikt føderale organisationer.
CISA opfordrede dog private virksomheder og andre netværksforsvarere til at prioritere opdateringen. Agenturet advarede om, at sårbarheder af denne type ofte giver ondsindede aktører adgangspunkter.
Organisationer bør også antage, at eksponerede hemmeligheder kan være blevet kompromitteret, hvis angribere fik adgang til en sårbar server. Håndtering af hændelsen kan derfor kræve udskiftning af legitimationsoplysninger og adgangstokens ud over installation af rettelsen.
GitLab får fortsat opmærksomhed omkring sikkerheden
De seneste angreb følger flere andre alvorlige sikkerhedsproblemer, der har påvirket GitLab. I januar rettede virksomheden en sårbarhed med høj alvorlighedsgrad, som gjorde det muligt for angribere at omgå tofaktorgodkendelse, hvis de kendte målets konto-ID.
Siden november 2021 har CISA identificeret fire GitLab-sårbarheder som aktivt udnyttede. Agenturet føjede to ældre sårbarheder, CVE-2021-22175 og CVE-2021-39935, til sit katalog i februar 2026.
Administratorer bør opdatere sårbare GitLab-installationer uden forsinkelse. Derudover bør de gennemgå API-logfiler, undersøge mistænkelige forsøg på filadgang og udskifte eventuelle hemmeligheder, som angribere kan have eksponeret.
0 svar til “Hackere udnytter GitLab-sårbarhed med maksimal alvorlighedsgrad”