攻撃対象領域管理(ASM)企業のWatchTowrによると、脅威アクターがGitLabで新たに修正された脆弱性を、公開からわずか1日で悪用し始めていることが警告されています。
CVE-2026-85706(CVSSスコア10/10)として追跡されているこの脆弱性は、認証されていないユーザーがGitLabサーバー上の任意のファイルを読み取ることを可能にするパストラバーサルの問題です。
影響を受けるのは、Community Edition(CE)およびEnterprise Edition(EE)の18.7から19.1.8より前のバージョン、19.2から19.2.6より前のバージョン、19.3から19.3.2より前のバージョンすべてです。
GitLabがこの脆弱性に対するパッチを発表した翌日となる金曜日、WatchTowrはこの脆弱性を狙った実際の悪用の試みを初めて観測しました。
「WatchTowr Intelは、攻撃者が1回のHTTPリクエストで任意のファイルを読み取ることを可能にする、最新の重大なGitLabパストラバーサル脆弱性CVE-2026-85706を狙った実環境での探索活動を、すでに観測しています」と同社は述べています。
WatchTowrによれば、この脆弱性の大規模な悪用がまもなく続く可能性が高いとのことです。
「防御担当者は、‘file.path’パラメータを含む‘/api/v4/projects/{id}/repository/commits/’のURIへのHTTP POSTリクエストがないか、ログファイルを調査して悪用の兆候を確認する必要があります」と同社は指摘しています。
自己ホスト型のGitLabインスタンスは、可能な限り速やかにアップグレードすべきです。今回の新しいパッチは、別の重大な脆弱性を含む他の17件の脆弱性も修正しているためです。
この重大な脆弱性はCVE-2026-87719(CVSSスコア9.9/10)として追跡されており、GraphQLサブスクリプションシリアライザーにおける安全でないデシリアライゼーションの問題です。これにより攻撃者が「Advanced Searchインスタンスの構成情報や機密性の高い認証情報」にアクセスできる可能性があります。
GitLab CE/EEのバージョン19.1.8、19.2.6、19.3.2では、攻撃者によるリモートコード実行、保護されたCI/CD変数へのアクセス、XSS攻撃の実行、サービス拒否(DoS)状態の引き起こしを可能にする、6件の深刻度の高い脆弱性も修正されています。
翻訳元: https://www.securityweek.com/gitlab-vulnerability-exploited-one-day-after-disclosure/
