Explotación de vulnerabilidad en GitLab un día después de su revelación

Actores de amenazas han comenzado a explotar una vulnerabilidad recientemente parcheada en GitLab apenas un día después de su divulgación pública. El fallo, con una puntuación CVSS de 10/10, permite a usuarios no autenticados leer archivos arbitrarios en el servidor.

Actores de amenazas han comenzado a explotar una vulnerabilidad recientemente parcheada en GitLab un día después de su divulgación pública, según advierte la firma de gestión de superficie de ataque WatchTowr.

Detalles técnicos y severidad Seguida como CVE-2026-85706 (con una puntuación CVSS de 10/10), el defecto de seguridad se describe como un problema de salto de ruta (path traversal) que puede permitir a usuarios no autenticados leer archivos arbitrarios del servidor de GitLab.

Versiones afectadas Se ven afectadas todas las versiones de Community Edition (CE) y Enterprise Edition (EE) desde la 18.7 antes de la 19.1.8, la 19.2 antes de la 19.2.6, y la 19.3 antes de la 19.3.2.

Explotación en ataques activos El viernes, un día después de que GitLab anunciara los parches para la debilidad de seguridad, WatchTowr observó los primeros intentos de explotación en ataques activos dirigidos a ella.

«WatchTowr Intel ya está observando sondas en ataques activos para la última vulnerabilidad crítica de salto de ruta en GitLab, CVE-2026-85706, que permite a los atacantes leer archivos arbitrarios en una sola solicitud HTTP», afirmó la empresa.

«Esta es la segunda instancia de una vulnerabilidad de GitLab de severidad crítica en las últimas semanas, tras la anterior inyección de código GraphQL (CVE-2026-19478) que fue explotada activamente casi de inmediato», comentó Jake Knott, jefe de inteligencia de amenazas en WatchTowr.

Según WatchTowr, es probable que la explotación masiva de la vulnerabilidad ocurra en breve.

Recomendaciones y parches adicionales «Los defensores deberían buscar en los archivos de registro solicitudes HTTP POST a las URIs '/api/v4/projects/{id}/repository/commits/' que contengan parámetros 'file.path' para identificar posibles intentos de explotación», señaló la empresa.

Las instancias de GitLab autoalojadas deben actualizarse lo antes posible, ya que los parches recientes resuelven otras 17 vulnerabilidades, incluyendo otro fallo de severidad crítica.

El fallo crítico, identificado como CVE-2026-87719 (puntuación CVSS de 9.9/10), es un problema de deserialización insegura en el serializador de suscripción GraphQL que podría permitir a los atacantes acceder a «configuraciones de instancias de búsqueda avanzada y credenciales sensibles».

Las versiones GitLab CE/EE 19.1.8, 19.2.6 y 19.3.2 también resuelven seis defectos de seguridad de severidad alta que podrían permitir a los atacantes lograr la ejecución de código remoto, acceder a variables de CI/CD protegidas, ejecutar ataques XSS y causar condiciones de denegación de servicio.

«El atractivo de GitLab para los atacantes es obvio, ya que el acceso no autorizado permite a un atacante obtener acceso al código fuente, secretos de CI/CD, credenciales y la capacidad de inyectar código en las canalizaciones de construcción, ganando acceso o envenenando cualquier elemento posterior, lo que, como hemos visto a lo largo de este año, ha sido una opción favorita de los atacantes», añadió Knott.

La rápida explotación de estas vulnerabilidades subraya la importancia de aplicar parches de emergencia de manera inmediata en infraestructuras críticas de desarrollo de software.

Fuente:
https://www.securityweek.com/gitlab-vulnerability-exploited-one-day-after-disclosure/

Contenido traducido al español con fines informativos, cualquier cambio en la publicación original no será reflejada en esta entrada, favor referirse a la fuente para obtener el acceso a cualquier actualización del contenido. Para la traducción se utilizó un LLM, al ser una traducción automática puede contener errores gramaticales o de otro tipo, me pueden enviar un mensaje.