---
title: CISA alerta para exploração ativa de falha crítica no GitLab
url: https://www.dataloco.com/pt-br/cisa-alerta-para-exploracao-ativa-de-falha-critica-no-gitlab
published: 2026-09-16T20:21:16+00:00
language: pt-br
section: Segurança
source: https://www.techtalkthai.com/cisa-warns-gitlab-max-severity-flaw-exploited-in-attacks/
organizations: GitLab, CISA, watchTowr
publisher: Dataloco
---

# CISA alerta para exploração ativa de falha crítica no GitLab

A Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos emitiu um alerta indicando que atacantes estão utilizando ativamente uma falha de severidade máxima no GitLab para realizar ataques reais. O incidente afeta diretamente a integridade dos servidores que utilizam a plataforma e expõe dados sensíveis a terceiros não autorizados.

A vulnerabilidade, identificada pelo código CVE-2026-85706, é classificada como uma falha de travessia de caminho na API de commits de repositórios. O problema decorre da ausência de mecanismos de autenticação e de uma restrição insuficiente de caminhos, o que permite que um invasor leia credenciais, segredos e outras informações confidenciais diretamente do servidor comprometido.

O GitLab é uma plataforma de DevSecOps amplamente adotada, com mais de 30 milhões de usuários registrados em todo o mundo. A empresa atende a mais de 50% das organizações listadas no ranking Fortune 100, o que amplia o potencial impacto da falha em grandes corporações globais.

A empresa desenvolvedora já disponibilizou correções para a falha nas versões 19.3.2, 19.2.6 e 19.1, tanto na edição comunitária quanto na edição empresarial. Esses pacotes de atualização foram lançados na quinta-feira, e a empresa recomenda que os usuários atualizem seus sistemas imediatamente para mitigar o risco.

Embora a empresa não tenha confirmado oficialmente a exploração em produção, a empresa de segurança watchTowr reportou, um dia após o lançamento do patch, a detecção de varreduras na internet buscando servidores GitLab que ainda não haviam sido corrigidos. A equipe de inteligência da watchTowr identificou tentativas de sondagem em campo, que permitem a leitura de qualquer arquivo no sistema através de uma única requisição HTTP.

Com base no histórico de falhas da plataforma, especialistas da watchTowr preveem que ataques em larga escala e sem alvo específico podem ocorrer em breve. Para auxiliar na detecção, a empresa recomenda que as equipes de segurança analisem os arquivos de log em busca de requisições HTTP POST enviadas para a URI /api/v4/projects/{id}/repository/commits/, que contenham o parâmetro file.path, como indicador de uma tentativa de ataque.

No mesmo dia, a CISA adicionou a vulnerabilidade ao seu catálogo de falhas exploradas ativamente, conhecido como KEV. A agência estabeleceu um prazo de três dias para que as agências governamentais dos Estados Unidos corrijam a falha, em conformidade com a Diretriz Operacional Vinculante 26-04.

Embora essa diretriz se aplique especificamente às agências do FCEB, a CISA recomenda que todos os administradores de rede, incluindo o setor privado, acelerem a aplicação dos patches. A agência destaca que esse tipo de falha é um vetor de ataque comum e representa um risco significativo, incentivando a adoção de uma gestão de vulnerabilidades baseada em risco e a priorização das correções listadas no catálogo KEV.

Anteriormente, em janeiro, o GitLab havia lançado um patch para uma falha de severidade alta que permitia a um atacante, conhecendo o ID da conta do alvo, contornar a autenticação de dois fatores. Desde novembro de 2021, a CISA já classificou quatro vulnerabilidades do GitLab como exploradas ativamente, sendo que duas delas, CVE-2021-22175 e CVE-2021-39935, foram adicionadas ao catálogo em fevereiro deste ano.

## This story in other languages

- [中文](https://www.dataloco.com/zh/cisagitlab)
- [Deutsch](https://www.dataloco.com/de/cisa-warnt-vor-ausnutzung-einer-kritischen-gitlab-schwachstelle)
- [Español](https://www.dataloco.com/es/cisa-alerta-sobre-vulnerabilidad-critica-en-gitlab-que-permite-acceso-no-autorizado)
- [हिन्दी](https://www.dataloco.com/hi/cisa-na-gitlab-ma-athhakatama-gabharata-val-khama-ka-sakaraya-hamal-ka-parata-catavana-jara-ka)
- [Bahasa Indonesia](https://www.dataloco.com/id/cisa-peringatkan-eksploitasi-celah-keamanan-tingkat-keparahan-tertinggi-pada-gitlab)
- [Polski](https://www.dataloco.com/pl/cisa-ostrzega-przed-wykorzystaniem-krytycznej-luki-w-gitlab)