-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA256 CAIS-Alerta 24/09/2026: Vulnerabilidade crítica no GitLab permite leitura arbitrária de arquivos Prezados(as), O CAIS alerta a comunidade de segurança cibernética para vulnerabilidade crítica no GitLab Community Edition (CE) e Enterprise Edition (EE), identificada como CVE-2026-85706, que pode permitir que um atacante remoto não autenticado leia arquivos arbitrários do servidor GitLab em instalações vulneráveis. 1. Produtos afetados; 2. Identificadores CVE (http://cve.mitre.org); 3. Descrição das vulnerabilidades; 4. Mitigação e correções disponíveis; e 5. Mais Informações. 1. Produtos afetados: * GitLab Community Edition (CE); * GitLab Enterprise Edition (EE); * Todas as versões a partir de 18.7 anteriores à 18.11.12; * Todas as versões 19.0 anteriores à 19.0.9; * Todas as versões 19.1 anteriores à 19.1.8; * Todas as versões 19.2 anteriores à 19.2.6; * Todas as versões 19.3 anteriores à 19.3.2; * Instalações self-managed do GitLab devem ser priorizadas; * GitLab.com e GitLab Dedicated foram informados pelo fabricante como já corrigidos; * Quando o fabricante não especifica um tipo de implantação, considera-se que todos os tipos de instalação self-managed podem estar afetados, incluindo Omnibus, source code, Helm chart e demais métodos suportados. 2. Identificadores CVE (http://cve.mitre.org): * CVE-2026-85706 3. Descrição da(s) vulnerabilidade(s): * A CVE-2026-85706 é uma vulnerabilidade crítica de path traversal na API de commits de repositórios do GitLab; * A falha decorre de confinamento inadequado de caminho e ausência de validação de autenticação no repository commits API; * Em determinadas condições, um atacante remoto não autenticado pode explorar a vulnerabilidade para ler arquivos arbitrários do servidor GitLab; * A exploração pode permitir acesso a arquivos sensíveis do sistema, arquivos de configuração, segredos, tokens, credenciais ou outros dados armazenados no servidor; * Embora o impacto primário seja leitura arbitrária de arquivos, o vazamento de segredos pode permitir comprometimentos posteriores, movimentação lateral, acesso indevido a repositórios, pipelines, variáveis sensíveis e integrações; * A vulnerabilidade possui pontuação CVSS 3.1 de 10.0, classificada como crítica; * A CVE-2026-85706 foi adicionada ao catálogo CISA Known Exploited Vulnerabilities (KEV), indicando exploração ativa observada em ambientes reais; * O GitLab disponibilizou detecções para apoiar clientes com instâncias self-managed na identificação de tentativas de exploração; * Devido à criticidade, exploração ativa e possibilidade de exposição de segredos, recomenda-se aplicação imediata das correções. 4. Mitigação e correções disponíveis: * Recomenda-se atualizar imediatamente o GitLab CE/EE para uma versão corrigida; * Para ambientes GitLab 18.7 ou superiores na linha 18.11, atualizar para 18.11.12 ou superior; * Para ambientes GitLab 19.0, atualizar para 19.0.9 ou superior; * Para ambientes GitLab 19.1, atualizar para 19.1.8 ou superior; * Para ambientes GitLab 19.2, atualizar para 19.2.6 ou superior; * Para ambientes GitLab 19.3, atualizar para 19.3.2 ou superior; * Priorize instâncias GitLab self-managed expostas à Internet ou acessíveis por redes amplas; * Verifique a versão em execução e confirme que a atualização foi aplicada com sucesso; * Revise logs de acesso, logs de aplicação, logs de proxy reverso, WAF, SIEM, EDR e demais ferramentas de monitoramento em busca de requisições suspeitas à API de commits de repositórios; * Utilize as detecções disponibilizadas pelo GitLab para identificar possíveis tentativas de leitura de arquivos sensíveis; * Caso haja suspeita de exploração, revise imediatamente arquivos de configuração e segredos potencialmente expostos, incluindo tokens, chaves, credenciais de banco de dados, segredos de aplicação, variáveis de CI/CD e integrações externas; * Rotacione credenciais, tokens e segredos que possam ter sido expostos; * Revise acessos administrativos, tokens pessoais, deploy tokens, runners, webhooks, integrações e chaves SSH; * Em ambientes com pipelines CI/CD, verifique se variáveis protegidas ou credenciais utilizadas em automações podem ter sido comprometidas; * Caso haja indícios de exploração, recomenda-se acionar o processo interno de resposta a incidentes, preservar evidências, coletar logs, revisar a integridade da instância GitLab e avaliar a necessidade de investigação forense. 5. Mais Informações: * NVD - CVE-2026-85706: https://nvd.nist.gov/vuln/detail/CVE-2026-85706 * CVE.org - CVE-2026-85706: https://www.cve.org/CVERecord?id=CVE-2026-85706 * GitLab Critical Patch Release - 19.3.2, 19.2.6, 19.1.8: https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-3-2-released/ * CISA Known Exploited Vulnerabilities Catalog: https://www.cisa.gov/known-exploited-vulnerabilities-catalog * Rapid7 - CVE-2026-85706: https://www.rapid7.com/blog/post/etr-cve-2026-85706-critical-gitlab-path-traversal-exploited-in-the-wild/ O CAIS recomenda que os administradores mantenham seus sistemas e aplicativos sempre atualizados, de acordo com as últimas versões e correções oferecidas pelos fabricantes. Os alertas do CAIS também podem ser acompanhados pelas redes sociais da RNP. Siga-nos!! Twitter: @caisRNP Facebook: facebook.com/RedeNacionaldeEnsinoePesquisaRNP. #################################################################### # CAIS - Inteligência em Cibersegurança # # Rede Nacional de Ensino e Pesquisa (RNP) # # cais@rnp.br https://www.rnp.br/cais # # Chave PGP disponível https://plataforma.rnp.br/cais/cais-pgp.key # #################################################################### -----BEGIN PGP SIGNATURE----- iQJPBAEBCAA5FiEE6KGwyf4DXAeZsMz64zp1B1sIAwoFAmq1eQsbFIAAAAAABAAO bWFudTIsMi41KzEuMTIsMiwxAAoJEOM6dQdbCAMKObcP/R0Kd/eI6InzsB467LAB FfeJZ/klNtghpNtpQqFLI9rehwAWRX/ODVhrLYKfyUlXrgxcXWA0nyz34osOpdk6 72vhz3lTH7GXrA2neFYsdO0L7K4t834ouJ9y2+Em4NKvtdp05hn6+yu6OwFJmOuZ f1azLpdFRYHf3xbdWl7bNeQP94mm+ONinbja3PN5zuIkn1559lkMalS8Qo5qdxo4 Uw2tGc/+z/Kl8AcZW/CJ7NcOmls36jKGYM/s3ZHKdxMpxQiMY69qasxfKsEwai4h Zil8xcf8j0iaw+9vSKMBd9SFgSqB+YC8Rbh4D3TRlvWnc4OspUF7LOv8s0uc9ERu ZHU5ec4tmmTu3OewjYiPGCb3Q/e3brF/ySwOp2o6Us0LObP16eoL44rSSl5URhwO yghv50oplwV+KwF/Bk12dToaNHP9HQVRjFHCa063uaUoHR9wKDP3rLZYP7f9Mp87 QEFj7BwUPV+Ww5XZ+5ce6fGOwulxKVc+uKU6+UfhjDcrqiydUzXusCBImV3cjHCw vsd5I7rFPHmxkl6tK+MYpvA4DfcoZVdyMhgmJdYCGQXx/Pqrhks4U5DihxEKubmQ PmzIg7pkZJUE68uneCMLRh1fP5J2jeAklQWoDDkhuQ8qW1Y5gc4lZprWsJro6SL8 6zShzry799Odl6JZzEaKkgBQ =LapO -----END PGP SIGNATURE-----