Podsumowanie
| Parametr | Wartość |
|---|---|
| CVE ID | CVE-2026-85706 |
| Źródło alertu | CISA KEV - Aktywna eksploatacja |
| Rok publikacji CVE | 2026 |
| Data publikacji | 2026-09-11 |
| Producent | GitLab |
| Produkt | Community Edition and Enterprise Edition |
| CVSS Score | 10.0 (Krytyczny) |
| EPSS Score | 14.6% (percentyl: 96%) |
| CISA KEV | Tak - potwierdzona aktywna eksploatacja |
| Ransomware | Nie potwierdzono |
| Termin na reakcję | 2026-09-14 |
Opis podatności
Źródło: CISA KEV
GitLab Community Edition oraz Enterprise Edition zawierają podatność typu path traversal — wyjścia poza zamierzony katalog przez manipulację ścieżką.
Źródłem problemu są dwa defekty występujące łącznie w API commitów repozytorium: niewłaściwe ograniczenie ścieżki (improper path confinement) oraz brak wymuszenia uwierzytelnienia (missing authentication enforcement). W efekcie nieuwierzytelniony użytkownik może odczytać dowolne pliki.
Waga tej podatności dla organizacji nie sprowadza się do samego odczytu plików. Repozytoria i ich otoczenie to typowe miejsce przechowywania sekretów — kluczy dostępowych, danych połączeń, tokenów CI/CD. Odczyt dowolnego pliku bez uwierzytelnienia warto więc traktować jako możliwy punkt wyjścia do dalszego dostępu, a nie jako zdarzenie zamknięte w jednym systemie.
CVSS 10.0 to maksimum skali. Pozycja figuruje w katalogu CISA KEV jako aktywnie wykorzystywana, a wyznaczony termin reakcji minął 2026-09-14.
Wymagane działania
Zastosuj środki zaradcze zgodnie z instrukcjami producenta, zachowując zgodność z dyrektywą CISA BOD 26-04 („Prioritizing Security Updates Based on Risk”) oraz wytycznymi CISA „Forensics Triage Requirements”. W przypadku usług chmurowych postępuj według właściwych zapisów BOD 26-04, a jeżeli środki zaradcze nie są dostępne — zaprzestań korzystania z produktu.
Ocena ekspozycji każdego zasobu na dostęp z internetu oraz przestrzeganie zasad aktualizacji wynikających z BOD 26-04 pozostają po stronie organizacji.
Kogo dotyczy?
Podatność dotyczy organizacji korzystających z GitLab Community Edition lub Enterprise Edition.
Sprawdź wersję swojej instancji i porównaj ją z komunikatem bezpieczeństwa GitLaba. Szczególnej uwagi wymagają instancje osiągalne z internetu — w tym te uruchomione „na chwilę” dla wykonawcy zewnętrznego lub pojedynczego projektu. Ponieważ wektor nie wymaga uwierzytelnienia, sama ekspozycja sieciowa wystarcza do próby wykorzystania.
Źródła
Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.
