Hackare utnyttjar GitLab-sårbarhet med maximal allvarlighetsgrad

CISA har varnat för att hackare aktivt utnyttjar en GitLab-sårbarhet med maximal allvarlighetsgrad. Sårbarheten gör det möjligt för oautentiserade angripare att läsa inloggningsuppgifter, hemligheter och andra känsliga filer från sårbara servrar.

Säkerhetsproblemet, som spåras som CVE-2026-85706, påverkar GitLab Community Edition och Enterprise Edition. Administratörer bör installera de tillgängliga uppdateringarna omedelbart och granska sina loggar efter tecken på exploatering.

GitLab-sårbarhet exponerar känsliga serverfiler

CVE-2026-85706 kombinerar bristande autentiseringskontroll med felaktig begränsning av filsökvägar i API:et för repository commits. Därför kan fjärrangripare utnyttja svagheten utan att logga in.

En lyckad attack gör det möjligt för hackare att läsa godtyckliga filer från en drabbad GitLab-server genom en enda HTTP-begäran. Dessa filer kan innehålla inloggningsuppgifter, åtkomsttoken, konfigurationsinformation och andra konfidentiella uppgifter.

GitLabs DevSecOps-plattform har mer än 30 miljoner registrerade användare världen över. Dessutom uppges mer än hälften av företagen på Fortune 100-listan använda den. Därför kan omfattande exploatering påverka många värdefulla företagsmiljöer.

Sårbarheten fick högsta möjliga allvarlighetsgrad. Dess låga attackkomplexitet och avsaknad av autentiseringskrav gör exponerade servrar särskilt attraktiva mål.

Angripare söker på internet efter sårbara servrar

GitLab åtgärdade sårbarheten i Community Edition och Enterprise Edition version 19.3.2, 19.2.6 och 19.1. Företaget uppmanade också kunder att omedelbart uppdatera sina installationer.

En dag efter att korrigeringarna släpptes upptäckte cybersäkerhetsföretaget watchTowr angripare som skannade internet efter sårbara GitLab-servrar. Forskarna varnade för att urskillningslös exploatering sannolikt snabbt skulle följa.

GitLab hade vid den tidpunkten inte officiellt markerat sårbarheten som aktivt utnyttjad. Den observerade skanningen visade dock att angripare redan hade börjat leta efter system som inte hade uppdaterats.

Försvarare bör granska sina serverloggar efter misstänkta HTTP POST-begäranden som riktas mot API:et för repository commits. Framför allt kan begäranden som innehåller ovanliga file.path-parametrar indikera ett exploateringsförsök.

CISA lägger till sårbarheten i listan över exploaterade sårbarheter

CISA lade till CVE-2026-85706 i sin katalog över Known Exploited Vulnerabilities den 11 september. Myndighetens beslut bekräftar att angripare har använt GitLab-sårbarheten i verkliga incidenter.

Enligt Binding Operational Directive 26-04 fick amerikanska federala civila myndigheter tre dagar på sig att säkra drabbade system. Kravet gäller specifikt federala organisationer.

CISA uppmanade ändå privata företag och andra nätverksförsvarare att prioritera uppdateringen. Myndigheten varnade för att sårbarheter av denna typ ofta ger skadliga aktörer en väg in i systemen.

Organisationer bör också utgå från att exponerade hemligheter kan ha komprometterats om angripare fått åtkomst till en sårbar server. Incidenthanteringen kan därför kräva att inloggningsuppgifter och åtkomsttoken byts ut utöver att korrigeringen installeras.

GitLab fortsätter att få uppmärksamhet kring säkerheten

De senaste attackerna följer efter flera andra allvarliga säkerhetsproblem som påverkat GitLab. I januari korrigerade företaget en sårbarhet med hög allvarlighetsgrad som gjorde det möjligt för angripare att kringgå tvåfaktorsautentisering om de kände till målets konto-ID.

Sedan november 2021 har CISA identifierat fyra GitLab-sårbarheter som aktivt utnyttjade. Myndigheten lade till två äldre sårbarheter, CVE-2021-22175 och CVE-2021-39935, i sin katalog i februari 2026.

Administratörer bör uppdatera sårbara GitLab-installationer utan dröjsmål. Dessutom bör de granska API-loggar, undersöka misstänkta försök att komma åt filer och ersätta alla hemligheter som angripare kan ha exponerat.