Šta se desilo?

Američka agencija za sajber bezbednost CISA upozorila je da se kritična ranjivost u GitLab platformi aktivno eksploatiše u napadima.

Ranjivost CVE-2026-85706 ima maksimalnu ocenu ozbiljnosti CVSS 3.1 10,0 i omogućava udaljenom napadaču bez korisničkog naloga ili autentifikacije da, pod određenim uslovima, čita proizvoljne fajlove sa GitLab servera.

GitLab je 10. septembra 2026. godine objavio bezbednosne ispravke, a već narednog dana zabeleženi su pokušaji eksploatacije ranjivih sistema dostupnih sa interneta. CISA je zbog potvrđene eksploatacije dodala ranjivost u svoj katalog Known Exploited Vulnerabilities (KEV).

Koga pogađa?

Ranjivost pogađa self-managed GitLab Community Edition (CE) i Enterprise Edition (EE) instalacije u sledećim verzijama:

  • od 18.7 do verzija pre 18.11.12,
  • grana 19.0 pre 19.0.9,
  • grana 19.1 pre 19.1.8,
  • grana 19.2 pre 19.2.6,
  • grana 19.3 pre 19.3.2.

GitLab je 23. septembra 2026. dodao ispravke i za starije grane, u izdanjima 18.11.12 i 19.0.9.

Posebno su ugrožene GitLab instance koje su direktno dostupne sa interneta. GitLab.com već koristi zakrpljenu verziju, dok korisnici GitLab Dedicated usluge ne moraju samostalno da primenjuju ovu ispravku.

Kako se zaštititi?

  • Odmah ažurirajte GitLab na verziju 18.11.12, 19.0.9, 19.1.8, 19.2.6 ili 19.3.2, odnosno na noviju podržanu verziju.
  • Proverite logove i tražite pokušaje eksploatacije koji su se dogodili pre primene zakrpe.
  • Obratite pažnju na HTTP POST zahteve prema GitLab Repository Commits API-ju koji sadrže parametar file.path.
  • Proverite da li je GitLab instanca nepotrebno dostupna direktno sa interneta i ograničite pristup gde je moguće.
  • Pregledajte pristupne tokene, kredencijale i druge tajne koje su mogle biti dostupne sa GitLab servera.
  • Ako postoje indikatori kompromitovanja, nemojte se zaustaviti samo na instaliranju zakrpe - pokrenite analizu incidenta i promenite potencijalno izložene kredencijale.

Tehnički detalji

CVE-2026-85706 je path traversal ranjivost u GitLab Repository Commits API-ju. Problem nastaje zbog nedovoljnog ograničavanja putanje fajlova u kombinaciji sa nedostatkom odgovarajuće provere autentifikacije.

Napadač može bez prijavljivanja na sistem da pošalje posebno pripremljen zahtev i, pod određenim uslovima, pročita proizvoljne fajlove sa servera.

U zavisnosti od konfiguracije GitLab sistema, među dostupnim fajlovima mogu se nalaziti konfiguracioni podaci, pristupni tokeni, kredencijali, ključevi i druge osetljive informacije. Njihovo kompromitovanje može omogućiti napadaču da nastavi napad i pristupi drugim sistemima organizacije.

Kompanija watchTowr zabeležila je pokušaje eksploatacije ubrzo nakon objavljivanja ranjivosti i preporučila administratorima da u logovima potraže HTTP POST zahteve prema putanji /api/v4/projects/{id}/repository/commits/ koji sadrže parametar file.path.

CISA je dodala CVE-2026-85706 u katalog aktivno eksploatisanih ranjivosti, čime je potvrđeno da ranjivost više nije samo teorijski rizik.

Zašto je važno?

GitLab se koristi za čuvanje izvornog koda, upravljanje razvojem softvera i CI/CD procesima. Zbog toga kompromitovanje GitLab servera može imati mnogo šire posledice od pristupa jednom sistemu.

Izloženi tokeni, ključevi ili CI/CD tajne mogu napadaču omogućiti pristup drugim servisima, cloud okruženjima ili procesima za izgradnju i distribuciju softvera.

Organizacije u Srbiji i regionu koje koriste sopstvene GitLab instance trebalo bi da ovaj incident tretiraju kao prioritet, posebno ako je GitLab dostupan direktno sa interneta.

Preporuka Sajber Radara

Ako koristite self-managed GitLab, odmah proverite verziju i ažurirajte sistem na 18.11.12, 19.0.9, 19.1.8, 19.2.6, 19.3.2 ili noviju podržanu verziju. Nakon ažuriranja pregledajte logove zbog mogućih pokušaja eksploatacije koji su se dogodili pre instaliranja zakrpe.

Ako pronađete sumnjive zahteve ili druge indikatore kompromitovanja, tretirajte potencijalno dostupne tokene, ključeve i kredencijale kao kompromitovane i zamenite ih.