CISA alerta para exploração ativa de falha crítica no GitLab

A Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos emitiu um alerta indicando que atacantes estão utilizando ativamente uma falha de severidade máxima no GitLab para realizar ataques reais. O incidente afeta diretamente a integridade dos servidores que utilizam a plataforma e expõe dados sensíveis a terceiros não autorizados.

A vulnerabilidade, identificada pelo código CVE-2026-85706, é classificada como uma falha de travessia de caminho na API de commits de repositórios. O problema decorre da ausência de mecanismos de autenticação e de uma restrição insuficiente de caminhos, o que permite que um invasor leia credenciais, segredos e outras informações confidenciais diretamente do servidor comprometido.

O GitLab é uma plataforma de DevSecOps amplamente adotada, com mais de 30 milhões de usuários registrados em todo o mundo. A empresa atende a mais de 50% das organizações listadas no ranking Fortune 100, o que amplia o potencial impacto da falha em grandes corporações globais.

A empresa desenvolvedora já disponibilizou correções para a falha nas versões 19.3.2, 19.2.6 e 19.1, tanto na edição comunitária quanto na edição empresarial. Esses pacotes de atualização foram lançados na quinta-feira, e a empresa recomenda que os usuários atualizem seus sistemas imediatamente para mitigar o risco.

Embora a empresa não tenha confirmado oficialmente a exploração em produção, a empresa de segurança watchTowr reportou, um dia após o lançamento do patch, a detecção de varreduras na internet buscando servidores GitLab que ainda não haviam sido corrigidos. A equipe de inteligência da watchTowr identificou tentativas de sondagem em campo, que permitem a leitura de qualquer arquivo no sistema através de uma única requisição HTTP.

Com base no histórico de falhas da plataforma, especialistas da watchTowr preveem que ataques em larga escala e sem alvo específico podem ocorrer em breve. Para auxiliar na detecção, a empresa recomenda que as equipes de segurança analisem os arquivos de log em busca de requisições HTTP POST enviadas para a URI /api/v4/projects/{id}/repository/commits/, que contenham o parâmetro file.path, como indicador de uma tentativa de ataque.

No mesmo dia, a CISA adicionou a vulnerabilidade ao seu catálogo de falhas exploradas ativamente, conhecido como KEV. A agência estabeleceu um prazo de três dias para que as agências governamentais dos Estados Unidos corrijam a falha, em conformidade com a Diretriz Operacional Vinculante 26-04.

Embora essa diretriz se aplique especificamente às agências do FCEB, a CISA recomenda que todos os administradores de rede, incluindo o setor privado, acelerem a aplicação dos patches. A agência destaca que esse tipo de falha é um vetor de ataque comum e representa um risco significativo, incentivando a adoção de uma gestão de vulnerabilidades baseada em risco e a priorização das correções listadas no catálogo KEV.

Anteriormente, em janeiro, o GitLab havia lançado um patch para uma falha de severidade alta que permitia a um atacante, conhecendo o ID da conta do alvo, contornar a autenticação de dois fatores. Desde novembro de 2021, a CISA já classificou quatro vulnerabilidades do GitLab como exploradas ativamente, sendo que duas delas, CVE-2021-22175 e CVE-2021-39935, foram adicionadas ao catálogo em fevereiro deste ano.