GitLab CVE-2026-85706: уязвимость на 10 баллов и версии, которые надо обновить

Ошибка в API коммитов репозитория: пути ограничиваются некорректно, а проверка аутентификации отсутствует. Злоумышленник без учётной записи может дотянуться до файлов вне репозитория: логов, конфигураций, учётных данных и токенов доступа. Оценка 10 из 10 означает удалённую эксплуатацию без прав и полную компрометацию данных.

Список короткий, но важна точность номеров.

• Уязвимы: GitLab CE и EE 18.7–19.1.7, 19.2–19.2.5, 19.3–19.3.1.
• Исправлено: 19.3.2, 19.2.6, 19.1.8.
• Вторая уязвимость в том же выпуске: CVE-2026-87719, 9,9 балла, небезопасная десериализация в GraphQL-подписках GitLab EE, доступна аутентифицированным пользователям.

Порядок действий от простого к трудоёмкому.

• Установить патч-версию своей ветки, не дожидаясь планового окна.
• Если обновление невозможно сегодня — ограничить публичный доступ к инстансу на уровне сети.
• Проверить логи на подозрительные запросы к /api/v4/projects/{id}/repository/commits/ за последние недели.
• При признаках эксплуатации — перевыпустить токены, ключи и пароли, которые могли лежать в доступных файлах.

Self-hosted GitLab ставят «на всякий случай» и годами не обновляют. Именно такие инстансы находят сканерами первыми. Если у вас нет процесса обновлений, минимальная защита — закрыть инстанс от интернета VPN или ZTNA и подписаться на рассылку безопасности GitLab.

CVE-2026-85706 — редкий случай уязвимости на 10 баллов в массовом продукте. Обновление до 19.3.2, 19.2.6 или 19.1.8, проверка логов и ротация секретов при малейшем подозрении.