Angripare utnyttjar en kritisk GitLab-sårbarhet för att stjäla känsliga uppgifter från servrar som inte har patchats. Forskare har hittat 12 offentliga arkiv med exploitkod, medan omkring 13 700 exponerade system fortfarande kan vara sårbara.
Angripare utnyttjar kritisk GitLab-sårbarhet
Sårbarheten, som spåras som CVE-2026-85706, påverkar GitLab Community Edition och Enterprise Edition. Den har fått högsta möjliga allvarlighetsgrad.
Censys upptäckte minst 12 separata offentliga arkiv som innehåller exploitkod för sårbarheten. Samtidigt riktar hotaktörer aktivt in sig på GitLab-instanser som är tillgängliga via internet.
USA:s Cybersecurity and Infrastructure Security Agency bekräftade det aktiva utnyttjandet. CISA lade till sårbarheten i sin katalog över Known Exploited Vulnerabilities den 11 september.
Myndigheten gav därefter federala organisationer tre dagar på sig att vidta de nödvändiga säkerhetsåtgärderna.
GitLab tillhandahåller en egenhostad plattform för programvaruutveckling, säkerhet och IT-drift. Enligt en myndighetsinlämning har tjänsten fler än 50 miljoner registrerade användare. Hälften av företagen på Fortune 100-listan använder också plattformen.
Path traversal-bugg exponerar känsliga filer
CVE-2026-85706 är en path traversal-sårbarhet. Under vissa förhållanden kan en oautentiserad angripare utnyttja den för att läsa valfria filer från en sårbar server.
Offentlig exploitkod visar hur angripare kan komma åt filen gitlab-secrets.json. Den här filen innehåller nycklar som GitLab använder för att kryptera hemligheter som lagras på plattformen.
Dessa hemligheter kan omfatta CI/CD-variabler, deploy-nycklar och integrationstokens. Utvecklingspipelines förlitar sig på sådana autentiseringsuppgifter för att ansluta till andra tjänster.
Som ett resultat kan angripare få åtkomst till molnkonton, containerregister och arkiv med källkod. Därefter kan de använda de stulna autentiseringsuppgifterna för att genomföra en mer omfattande attack mot programvaruförsörjningskedjan.
Organisationer behandlar ofta GitLab både som en utvecklingsmiljö och ett säkert valv. Instanser kan innehålla proprietär källkod, automatiseringsskript, säkerhetspolicyer och andra känsliga interna resurser.
Därför kan obehörig åtkomst skapa risker långt utanför den ursprungliga GitLab-servern.
Tusentals servrar är fortfarande sårbara
Censys identifierade 86 231 internetexponerade värdar som kör GitLab. Dessa servrar motsvarade 208 186 enskilda webbegenskaper.
Kina hade det största antalet exponerade värdar, med 19 435 system. USA följde med 13 242, medan Tyskland hade 12 249.
Forskarna räknade också 8 639 exponerade värdar i Ryssland och 5 062 i Frankrike. Övriga länder stod för de återstående systemen.
Enbart exponering innebär dock inte att varje server fortfarande är sårbar. Data från Shadowserver Foundation visar att minst 13 700 exponerade system fortfarande saknar skydd mot CVE-2026-85706.
USA uppges ha den största andelen av dessa sårbara servrar.
Organisationer bör byta ut lagrade autentiseringsuppgifter
Censys varnade organisationer för att betrakta autentiseringsuppgifter som lagras på sårbara internetanslutna instanser som potentiellt komprometterade.
Administratörer bör omedelbart byta ut CI/CD-hemligheter, deploy-nycklar och integrationstokens. De bör också undersöka sina GitLab-miljöer efter tecken på obehörig åtkomst.
Granskningen bör även omfatta anslutna molnplattformar, arkiv och containerregister. Angripare kan använda stulna autentiseringsuppgifter även efter att administratörer har patchat den ursprungliga GitLab-servern.
Därför kanske det inte räcker att enbart installera en uppdatering för att eliminera den bredare risken. Organisationer måste också ogiltigförklara exponerade hemligheter och undersöka anslutna tjänster efter misstänkt aktivitet.
GitLab släpper kritiska säkerhetsuppdateringar
GitLab åtgärdade CVE-2026-85706 i en säkerhetsuppdatering som rättade 18 sårbarheter. Uppdateringen innehöll patchar för två kritiska säkerhetsbrister.
Företaget rekommenderar starkt att alla egenhanterade installationer uppgraderas till en av de senaste åtgärdade versionerna:
- GitLab 19.3.2
- GitLab 19.2.6
- GitLab 19.1.8
Detta är den andra kritiska GitLab-sårbarheten som påverkar oautentiserade användare på mindre än en månad.
GitLab offentliggjorde en separat kritisk GraphQL-sårbarhet den 17 augusti. Angripare började utnyttja den mindre än 24 timmar senare för att ändra eller radera offentliga projekt och användardata.
Den senaste GitLab-sårbarheten visar återigen hur snabbt angripare utnyttjar nyligen offentliggjorda säkerhetsbrister. Administratörer bör patcha omedelbart, byta ut exponerade autentiseringsuppgifter och undersöka alla berörda system.
0 svar till ”GitLab-sårbarhet exponerar hemligheter på tusentals servrar”