This post is also available in: Português
A CVE-2026-85706 é uma vulnerabilidade crítica de Path Traversal identificada no GitLab Community Edition (CE) e Enterprise Edition (EE). Classificada com CVSS 10.0, a falha está relacionada à limitação inadequada de caminhos para diretórios restritos e à ausência de aplicação adequada de autenticação na API de commits de repositórios. Sob determinadas condições, um usuário não autenticado pode explorar a vulnerabilidade para ler arquivos arbitrários armazenados no servidor GitLab.
A gravidade do problema aumenta porque a CVE-2026-85706 já foi incluída no catálogo Known Exploited Vulnerabilities (KEV) da CISA, indicando que existem evidências de exploração da vulnerabilidade em ambientes reais. A inclusão ocorreu em 11 de setembro de 2026, um dia após a disponibilização das correções pelo GitLab.
Para organizações que utilizam instalações autogerenciadas do GitLab, a vulnerabilidade exige atenção imediata, principalmente quando a plataforma está acessível pela internet.
O que é o GitLab?
O GitLab é uma plataforma voltada ao desenvolvimento e à entrega de software, reunindo recursos de gerenciamento de código-fonte, planejamento, CI/CD, segurança, conformidade e outras etapas do ciclo de desenvolvimento em uma única plataforma. A empresa descreve o GitLab como uma plataforma DevSecOps que permite integrar segurança ao ciclo de desenvolvimento e automatizar diferentes processos relacionados à entrega de software.
O projeto começou em 2011 como uma iniciativa de código aberto para facilitar a colaboração entre desenvolvedores e posteriormente evoluiu para uma plataforma utilizada por milhões de pessoas. Segundo dados divulgados pelo próprio GitLab, a empresa possuía mais de 50 milhões de usuários registrados em junho de 2026.
Entre os recursos oferecidos estão o gerenciamento de repositórios Git, pipelines de CI/CD, registro de artefatos, ferramentas de segurança de aplicações e mecanismos de governança. A plataforma pode ser utilizada por meio do GitLab.com, em instalações autogerenciadas ou no GitLab Dedicated.
É justamente nas versões autogerenciadas do GitLab CE e EE que a CVE-2026-85706 representa uma preocupação relevante.
O que é a CVE-2026-85706?
A CVE-2026-85706 corresponde a uma vulnerabilidade classificada como CWE-22, categoria que representa Improper Limitation of a Pathname to a Restricted Directory, conhecida como Path Traversal.
Esse tipo de vulnerabilidade ocorre quando uma aplicação não consegue restringir corretamente o caminho utilizado para acessar arquivos e diretórios. Em determinadas situações, isso permite que uma entrada controlada pelo usuário seja utilizada para escapar do diretório originalmente permitido e alcançar arquivos localizados em outras partes do sistema.
No caso do GitLab, a falha está relacionada à API de commits do repositório. Segundo a descrição oficial, o problema envolve tanto o confinamento inadequado dos caminhos quanto a ausência de aplicação de autenticação na API. Como resultado, sob determinadas condições, um usuário não autenticado poderia ler arquivos arbitrários presentes no servidor GitLab.
O problema foi reportado por meio do programa de bug bounty do GitLab, com crédito atribuído ao pesquisador identificado como s3ntago.
Quais produtos e versões são afetados?
A vulnerabilidade afeta o GitLab Community Edition (CE) e o GitLab Enterprise Edition (EE) em determinadas versões.
As versões afetadas começam na série 18.7 e abrangem versões anteriores às correções disponibilizadas pelo GitLab nas branches 19.1, 19.2 e 19.3. A tabela abaixo apresenta as faixas afetadas e as respectivas versões corrigidas.
| Produto | Versões afetadas | Versão corrigida |
|---|---|---|
| GitLab CE/EE | 18.7 até antes da 19.1.8 | 19.1.8 |
| GitLab CE/EE | 19.2 até antes da 19.2.6 | 19.2.6 |
| GitLab CE/EE | 19.3 até antes da 19.3.2 | 19.3.2 |
O GitLab disponibilizou as versões 19.3.2, 19.2.6 e 19.1.8 em 10 de setembro de 2026, contendo as correções de segurança relacionadas a essa e outras vulnerabilidades.
A vulnerabilidade também afeta diferentes modalidades de implantação autogerenciada, incluindo instalações por Omnibus, código-fonte e Helm Chart, conforme análise da Rapid7.
Para ambientes GitLab.com, o próprio GitLab informa que a plataforma já estava executando uma versão corrigida. Clientes do GitLab Dedicated também não precisam realizar uma ação específica relacionada a essa atualização.
Como a vulnerabilidade pode ser explorada?
A exploração está relacionada ao tratamento dos caminhos de arquivos utilizados pela API de commits do GitLab.
Em uma aplicação corretamente protegida, uma requisição que solicita acesso a um arquivo deveria permanecer limitada ao diretório ou recurso autorizado. Em uma vulnerabilidade de Path Traversal, entretanto, entradas manipuladas podem fazer com que o sistema interprete um caminho fora do contexto originalmente permitido.
No caso da CVE-2026-85706, a situação é agravada pela falta de aplicação adequada de autenticação nesse fluxo. Dessa forma, sob determinadas condições, um atacante sem autenticação pode realizar requisições capazes de obter arquivos arbitrários do servidor afetado.
A Rapid7 relata que a exploração observada está associada à API de commits e destaca que a vulnerabilidade pode ser explorada remotamente sem necessidade de autenticação.
Isso significa que o impacto não está limitado aos dados armazenados diretamente nos repositórios. Dependendo da configuração do servidor e dos arquivos acessíveis, informações presentes no sistema operacional ou nos arquivos de configuração da aplicação também podem estar em risco.
Qual é o impacto da CVE-2026-85706?
A CVE-2026-85706 recebeu pontuação CVSS 3.1 de 10.0, classificação considerada crítica. O vetor informado para a vulnerabilidade é: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N.
A pontuação máxima está relacionada principalmente à combinação de características que tornam a exploração potencialmente acessível remotamente, sem privilégios e sem interação do usuário.
A vulnerabilidade possui vetor de ataque pela rede, baixa complexidade de exploração, não exige privilégios prévios e não depende de interação de uma vítima. O impacto sobre confidencialidade e integridade foi classificado como alto, enquanto o impacto direto sobre disponibilidade foi classificado como inexistente no cálculo CVSS.
Na prática, o risco mais imediato está na possibilidade de exposição de informações armazenadas no servidor.
Dependendo dos arquivos que possam ser acessados, uma exploração bem-sucedida pode expor informações sensíveis utilizadas pela própria plataforma, credenciais, configurações, tokens ou outros dados que posteriormente possam ser utilizados em novas etapas de um ataque. A possibilidade de comprometimento adicional depende, entretanto, dos arquivos disponíveis e das configurações específicas de cada ambiente.
Por esse motivo, a correção da vulnerabilidade deve ser acompanhada por uma avaliação sobre possíveis sinais de exploração anterior.
CVE-2026-85706 já está sendo explorada?
Sim. Esse é um dos aspectos mais relevantes da vulnerabilidade.
Em 11 de setembro de 2026, a CISA adicionou a CVE-2026-85706 ao catálogo Known Exploited Vulnerabilities (KEV). A inclusão indica que a agência possui evidências de exploração da vulnerabilidade no ambiente real.
A Rapid7 também informou que a vulnerabilidade estava sendo explorada e recomendou que organizações com instalações autogerenciadas afetadas realizassem a atualização fora dos ciclos normais de aplicação de patches.
A confirmação de exploração muda a natureza da resposta necessária. Nesse cenário, atualizar o GitLab é fundamental, mas organizações que possuíam uma versão vulnerável exposta também devem considerar a possibilidade de que a falha tenha sido explorada antes da aplicação da correção.
Como corrigir a CVE-2026-85706?
A principal recomendação é atualizar o GitLab para uma das versões corrigidas disponibilizadas pelo fornecedor.
Para a série 19.1, a correção está disponível na versão 19.1.8. Para a série 19.2, a versão corrigida é a 19.2.6. Já para a série 19.3, a correção foi disponibilizada na 19.3.2.
O GitLab recomenda que instalações autogerenciadas afetadas sejam atualizadas imediatamente. A atualização também inclui outras correções de segurança além da CVE-2026-85706.
É importante considerar que o processo de atualização pode exigir planejamento operacional. Segundo a Rapid7, as versões corrigidas incluem migrações de banco de dados. Em instalações de nó único, isso pode resultar em indisponibilidade durante a execução das migrações, enquanto ambientes com múltiplos nós podem utilizar procedimentos de atualização sem indisponibilidade, conforme a arquitetura adotada.
Além da atualização, organizações que utilizavam uma versão vulnerável devem avaliar registros da aplicação, proxy reverso, balanceadores, WAF e outros mecanismos de monitoramento para identificar requisições suspeitas direcionadas à API de commits.
Caso exista evidência de exploração, a investigação deve considerar quais arquivos poderiam ter sido acessados e quais credenciais, tokens ou informações sensíveis poderiam estar presentes nesses arquivos. Dependendo do resultado dessa análise, pode ser necessário realizar rotação de credenciais e outras medidas de resposta a incidentes.
This post is also available in: Português
