GitLab: чтение файлов сервера без входа (CVE-2026-85706)
На своём GitLab CE/EE 18.7–19.3 запрос к API коммитов мог прочитать файл за пределами репозитория без входа. Обновите инстанс до 19.1.8, 19.2.6 или 19.3.2.
Коротко о главном
- Чем опасно
- Не вошедший в систему человек мог прочитать произвольный файл на сервере
- С чего начать защиту
- Обновите GitLab: ветку 18.7–19.1 до 19.1.8, 19.2 до 19.2.6, 19.3 до 19.3.2 или новее.
- Как подтвердить
- Нужны ручной аудит и проверка реализации. Отсутствие находок во внешнем скане не подтверждает безопасность.
- Продукт
- GitLab
- Оценка риска
- CVSS 10 / 10
Как проверить и что учитывать
Нужна ручная проверка
Снаружи нельзя честно доказать, читаются ли файлы сервера. FindRisk не подтверждает CVE-2026-85706 по публичной странице. Версию и журналы API проверяет администратор. Не делайте вывод о наличии уязвимости только по одному внешнему признаку: подтвердите результат в настройках и версии компонента.
Что нужно для подтверждения
Факт уязвимости следует из версии GitLab, а не из внешнего ответа сайта.
Ограничения вывода
- Закрытый инстанс за VPN не виден внешней проверке.
- Запись CISA KEV не заменяет сверку версии.
Что произошло
API коммитов GitLab отдаёт сведения о репозитории. В уязвимых версиях путь в этом запросе не удерживался внутри репозитория, а проверка входа не срабатывала.
Для владельца это означает простой вопрос: мог ли посторонний прочитать файл на сервере, не имея учётной записи. Исправление — обновление, а не настройка отдельного проекта.
Кого это касается
Затронут собственный GitLab CE/EE начиная с 18.7 и до исправлений веток 19.1, 19.2 и 19.3. Это другой инцидент, не путайте его со сбросом пароля CVE-2023-7028 и с ошибкой CI CVE-2026-97229.
Ошибка есть в каталоге CISA KEV и в бюллетене GitLab от 10 сентября 2026 года.
| Ветка | Затронуто | Исправление |
|---|---|---|
| 18.7 и 19.1 | 18.7 и новее, ниже 19.1.8 | 19.1.8 |
| 19.2 | ниже 19.2.6 | 19.2.6 |
| 19.3 | ниже 19.3.2 | 19.3.2 |
Как проверить установленную версию
Смотрите версию на самом сервере. Публичный сайт проекта эту цифру обычно не показывает.
gitlab-rake gitlab:env:infoКак снизить риск
Поставьте исправление своей ветки и закройте лишний доступ из интернета. Если версия уже была уязвимой и сервер был открыт, исходите из того, что файлы конфигурации могли прочитать, и замените пароли.
Бесплатная внешняя проверка домена смотрит только публичные признаки сайта. Она не заменяет сверку версии GitLab.
Что может произойти
- Не вошедший в систему человек мог прочитать произвольный файл на сервере
- В таких файлах бывают пароли, ключи и настройки
- Утечка не всегда оставляет заметную страницу на самом сайте
Как защититься
- 1Обновите GitLab: ветку 18.7–19.1 до 19.1.8, 19.2 до 19.2.6, 19.3 до 19.3.2 или новее.
- 2Если сервер уже был доступен из интернета на уязвимой версии, смените секреты, которые лежат в файлах конфигурации.
- 3Ограничьте GitLab сетью компании, если публичный доступ к инстансу не нужен.
Как проходит проверка
Снаружи нельзя честно доказать, читаются ли файлы сервера. FindRisk не подтверждает CVE-2026-85706 по публичной странице. Версию и журналы API проверяет администратор. Автоматический результат показывает внешний признак риска и требует проверки специалистом с учётом конкретной конфигурации.
Проверить другие внешние рискиЧто делать после обнаружения
- Зафиксируйте версию до патча.
- Просмотрите журналы API за период, когда стояла уязвимая сборка.
- Убедитесь, что резервный сервер обновлён той же версией.
Частые вопросы
Что означает риск «GitLab: чтение файлов без входа»?
На своём GitLab CE/EE 18.7–19.3 запрос к API коммитов мог прочитать файл за пределами репозитория без входа. Обновите инстанс до 19.1.8, 19.2.6 или 19.3.2.
Можно ли подтвердить проблему только внешней проверкой?
Снаружи нельзя честно доказать, читаются ли файлы сервера. FindRisk не подтверждает CVE-2026-85706 по публичной странице. Версию и журналы API проверяет администратор. Итог нужно сопоставить с конфигурацией, версиями и правами доступа на вашем сайте.
Что сделать в первую очередь?
Обновите GitLab: ветку 18.7–19.1 до 19.1.8, 19.2 до 19.2.6, 19.3 до 19.3.2 или новее.