CISA alerta sobre vulnerabilidade crítica no GitLab

O Agência de Cibersegurança e Proteção de Infraestruturas dos Estados Unidos (CISA) adicionou uma nova vulnerabilidade do GitLab ao catálogo KEV, alertando os clientes da plataforma que ela está sendo ativamente explorada por cibercriminosos em ataques reais. A vulnerabilidade, identificada como CVE-2026-85706, possui uma classificação de ameaça máxima de 10 em 10, relacionada à falta de autenticação obrigatória e ao controle inadequado de acesso ao sistema de arquivos na API de commits do repositório.

GitLab lançou atualizações para as versões Community Edition (CE) e Enterprise Edition (EE) para remediar essa e outras vulnerabilidades. Entre as correções estão duas críticas, incluindo uma falha de bypass na API de commits e uma vulnerabilidade de desserialização insegura no serializador GraphQL. Especialistas da empresa watchTowr relataram que houve tentativas de exploração da CVE-2026-85706, que permite que invasores leiam arquivos arbitrários através de um único pedido HTTP.

A CISA notificou as organizações governamentais, concedendo um prazo de três dias para que atualizassem o software, uma vez que a vulnerabilidade foi incluída no catálogo de vulnerabilidades exploradas. GitLab, uma plataforma que automatiza processos de desenvolvimento, testes e implantação de software, possui mais de 50 milhões de usuários registrados e é utilizada por aproximadamente metade das empresas listadas na Fortune 100.