CISA har advart om at hackere aktivt utnytter en GitLab-sårbarhet med maksimal alvorlighetsgrad. Sårbarheten gjør det mulig for uautentiserte angripere å lese påloggingsopplysninger, hemmeligheter og andre sensitive filer fra sårbare servere.
Sikkerhetsproblemet, som spores som CVE-2026-85706, påvirker GitLab Community Edition og Enterprise Edition. Administratorer bør installere de tilgjengelige oppdateringene umiddelbart og undersøke loggene sine for tegn på utnyttelse.
GitLab-sårbarhet eksponerer sensitive serverfiler
CVE-2026-85706 kombinerer manglende håndheving av autentisering med feilaktig begrensning av filstier i API-et for repository commits. Som et resultat kan eksterne angripere utnytte svakheten uten å logge inn.
Et vellykket angrep gjør det mulig for hackere å lese vilkårlige filer fra en berørt GitLab-server gjennom én enkelt HTTP-forespørsel. Disse filene kan inneholde påloggingsopplysninger, tilgangstokener, konfigurasjonsdetaljer og annen konfidensiell informasjon.
GitLabs DevSecOps-plattform har mer enn 30 millioner registrerte brukere over hele verden. Dessuten skal over halvparten av selskapene på Fortune 100-listen bruke den. Derfor kan omfattende utnyttelse påvirke mange verdifulle bedriftsmiljøer.
Sårbarheten fikk høyest mulig alvorlighetsgrad. Den lave angrepskompleksiteten og mangelen på krav om autentisering gjør eksponerte servere spesielt attraktive mål.
Angripere skanner internett etter sårbare servere
GitLab rettet sårbarheten i Community Edition og Enterprise Edition versjon 19.3.2, 19.2.6 og 19.1. Selskapet oppfordret også kundene til å oppdatere installasjonene sine umiddelbart.
Én dag etter at oppdateringene ble tilgjengelige, oppdaget cybersikkerhetsselskapet watchTowr angripere som skannet internett etter sårbare GitLab-servere. Forskere advarte om at vilkårlig utnyttelse sannsynligvis raskt ville følge.
GitLab hadde på det tidspunktet ikke offisielt merket sårbarheten som aktivt utnyttet. Den observerte skanningen viste imidlertid at angripere allerede hadde begynt å lete etter systemer som ikke var oppdatert.
Forsvarere bør undersøke serverloggene sine for mistenkelige HTTP POST-forespørsler rettet mot API-et for repository commits. Spesielt kan forespørsler som inneholder uvanlige file.path-parametere, indikere et forsøk på utnyttelse.
CISA legger sårbarheten til listen over utnyttede sårbarheter
CISA la CVE-2026-85706 til sin Known Exploited Vulnerabilities-katalog 11. september. Byråets beslutning bekrefter at angripere har brukt GitLab-sårbarheten i reelle hendelser.
Under Binding Operational Directive 26-04 fikk amerikanske føderale sivile etater tre dager på seg til å sikre berørte systemer. Kravet gjelder spesifikt føderale organisasjoner.
CISA oppfordret likevel private selskaper og andre nettverksforsvarere til å prioritere oppdateringen. Byrået advarte om at sårbarheter av denne typen ofte gir ondsinnede aktører inngangspunkter.
Organisasjoner bør også anta at eksponerte hemmeligheter kan ha blitt kompromittert dersom angripere fikk tilgang til en sårbar server. Hendelseshåndtering kan derfor kreve at påloggingsopplysninger og tilgangstokener byttes ut i tillegg til at oppdateringen installeres.
GitLab får fortsatt oppmerksomhet rundt sikkerheten
De siste angrepene følger flere andre alvorlige sikkerhetsproblemer som har påvirket GitLab. I januar rettet selskapet en sårbarhet med høy alvorlighetsgrad som gjorde det mulig for angripere å omgå tofaktorautentisering dersom de kjente målets konto-ID.
Siden november 2021 har CISA identifisert fire GitLab-sårbarheter som aktivt utnyttet. Byrået la til to eldre sårbarheter, CVE-2021-22175 og CVE-2021-39935, i katalogen sin i februar 2026.
Administratorer bør oppdatere sårbare GitLab-installasjoner uten forsinkelse. I tillegg bør de gjennomgå API-logger, undersøke mistenkelige forsøk på filtilgang og erstatte eventuelle hemmeligheter som angripere kan ha eksponert.
0 responses to “Hackere utnytter GitLab-sårbarhet med maksimal alvorlighetsgrad”