GitLab lanzó parches urgentes para corregir vulnerabilidades críticas, destacando la CVE-2026-85706 con puntuación máxima de riesgo. Este fallo permite que usuarios no autenticados lean archivos sensibles del servidor, y ya se han detectado intentos de explotación activa. Se recomienda a las organizaciones actualizar sus instancias a las versiones 19.3.2, 19.2.6 o 19.1.8 inmediatamente.





GitLab ha lanzado parches para solucionar múltiples fallos, incluyendo una vulnerabilidad de seguridad de severidad máxima que ha sufrido sondeos activos apenas unas horas después de su divulgación pública.

La vulnerabilidad en cuestión es la CVE-2026-85706 (puntuación CVSS: 10.0), un problema de salto de directorio (path traversal) en la API de commits del repositorio que podría permitir que un usuario no autenticado lea archivos arbitrarios del servidor de GitLab bajo ciertas condiciones.

El problema, según GitLab, se debe a un "confinamiento de ruta inadecuado y a la falta de aplicación de la autenticación en la API de commits del repositorio".

El problema afecta a las siguientes versiones de GitLab Community Edition (CE) y Enterprise Edition (EE):
* Todas las versiones desde la 18.7 hasta antes de la 19.1.8,
* Todas las versiones desde la 19.2 hasta antes de la 19.2.6, y
* Todas las versiones desde la 19.3 hasta antes de la 19.3.2

Según la firma de gestión de exposición preventiva watchTowr, la vulnerabilidad ya está siendo objeto de sondeos activos desde las 06:00 UTC del 11 de septiembre de 2026. El problema, señaló, permite a un atacante externo leer archivos de registro y archivos de configuración específicos de GitLab para obtener credenciales, secretos e información sensible.

"Este es el segundo caso de una vulnerabilidad crítica de GitLab en las últimas semanas, después de la anterior inyección de código GraphQL (CVE-2026-19478) que fue explotada activamente casi de inmediato", dijo Jake Knott, jefe de inteligencia de amenazas de watchTowr, en una declaración compartida con The Hacker News. "La explotación solo requiere un requisito: que exista al menos un proyecto público".

"El atractivo de GitLab para los atacantes es obvio, ya que el acceso no autorizado permite obtener el código fuente, secretos de CI/CD, credenciales y la capacidad de inyectar código en los pipelines de construcción, ganando acceso o envenenando cualquier proceso posterior, lo cual, como hemos visto a lo largo de este año, ha sido el favorito de los atacantes".

También ha sido parcheado por GitLab en las versiones 19.3.2, 19.2.6 y 19.1.8 un error crítico de deserialización insegura en GitLab EE (CVE-2026-87719, puntuación CVSS: 9.9) que podría resultar en la divulgación de información.

La vulnerabilidad podría permitir que un usuario autenticado con acceso a Duo Chat obtenga configuraciones de instancia de Búsqueda Avanzada y credenciales sensibles utilizando un argumento de suscripción GraphQL especialmente diseñado para evadir la serialización y realizar una búsqueda de objetos del servidor", afirmó GitLab.

Si gestionas instancias de GitLab auto-alojadas que estén expuestas a internet, debes aplicar los parches lo antes posible, o limitar el acceso público si no es necesario.

"Basándonos en el historial, es probable que la transición de esta vulnerabilidad a una explotación masiva e indiscriminada no esté lejos, y los defensores tienen un tiempo limitado para actuar", dijo Knott. "Cuando sea posible, también deberías revisar los archivos de registro en busca de solicitudes HTTP POST a las URI '/api/v4/projects/{id}/repository/commits/' que contengan parámetros 'file.Path' para identificar posibles intentos de explotación".

Fuente:
THN