GitLab ha lanzado parches para corregir múltiples fallos de seguridad, incluida una vulnerabilidad de severidad máxima que ya ha sido objeto de sondeos en ataques reales apenas unas horas después de su divulgación pública.
La vulnerabilidad en cuestión es CVE-2026-85706 (puntuación CVSS: 10.0), un problema de path traversal en la API de commits del repositorio que podría permitir a un usuario no autenticado leer archivos arbitrarios del servidor GitLab bajo ciertas condiciones.
Según GitLab, el problema se debe a un "confinamiento de ruta incorrecto y a la falta de aplicación de autenticación en la API de commits del repositorio".
La vulnerabilidad afecta a las siguientes versiones de GitLab Community Edition (CE) y Enterprise Edition (EE):
- Todas las versiones desde la 18.7 anteriores a la 19.1.8
- Todas las versiones desde la 19.2 anteriores a la 19.2.6
- Todas las versiones desde la 19.3 anteriores a la 19.3.2
De acuerdo con la empresa de gestión proactiva de exposición watchTowr, la vulnerabilidad ya está siendo sondeada activamente en Internet desde las 06:00 UTC del 11 de septiembre de 2026. Según la firma, el fallo permite a un atacante externo leer archivos de registro y archivos de configuración específicos de GitLab para obtener credenciales, secretos e información sensible.
Este es el segundo caso de una vulnerabilidad crítica de GitLab en las últimas semanas, después de la anterior inyección de código GraphQL (CVE-2026-19478) que fue explotada activamente casi de inmediato. La explotación requiere solo un requisito: que exista al menos un proyecto público.
Jake Knott, responsable de inteligencia de amenazas de watchTowr, declaró a The Hacker News: "El atractivo de GitLab para los atacantes es obvio, ya que el acceso no autorizado permite obtener código fuente, secretos de CI/CD, credenciales y la capacidad de inyectar código en las canalizaciones de compilación, obteniendo acceso o envenenando cualquier elemento posterior, algo que hemos visto durante todo este año como favorito de los atacantes".
GitLab también ha parcheado en las versiones 19.3.2, 19.2.6 y 19.1.8 un error crítico de deserialización insegura en GitLab EE (CVE-2026-87719, puntuación CVSS: 9.9) que podría provocar la divulgación de información.
La vulnerabilidad podría permitir a un usuario autenticado con acceso a Duo Chat obtener configuraciones de instancias de Búsqueda Avanzada y credenciales sensibles mediante un argumento de suscripción GraphQL especialmente diseñado para eludir la serialización y realizar una búsqueda de objetos en el servidor, según GitLab.
Las organizaciones que ejecutan instancias autogestionadas de GitLab expuestas a Internet deben aplicar los parches lo antes posible, o limitar el acceso público si no es necesario.
Según los antecedentes, la transición de esta vulnerabilidad a una explotación masiva indiscriminada probablemente no está lejos, y los defensores tienen poco tiempo para actuar. Cuando sea posible, las organizaciones también deberían revisar los archivos de registro en busca de solicitudes HTTP POST a URI '/api/v4/projects/{id}/repository/commits/' que contengan parámetros 'file.Path' para identificar posibles intentos de explotación.
Deja una respuesta