GitLabの最高深刻度脆弱性、修正版公開後に悪用確認リストへ

修正版公開の数日後に悪用確認へ

The Registerは、CISAがCVE-2026-85706を「既知の悪用確認脆弱性」カタログに追加し、攻撃者による悪用が起きているとしたと伝えた。
この脆弱性はGitLabのリポジトリ・コミットAPIにあるパストラバーサル脆弱性で、意図した保存先の外側にあるファイルへアクセスできる恐れがある不備を指す。
一定の条件下では、ログインしていない攻撃者でも脆弱なサーバー上の任意ファイルを読める可能性がある。
GitLabは19.3.2、19.2.6、19.1.8で修正版を公開し、watchTowrはインターネット公開サーバーに対する探索を観測したとしている。

GitLabは9月10日、影響を受けるセルフマネージド環境向けに修正版を公開していた。
GitLab.comにはすでに修正が適用されていた。

新たに修正された最高深刻度の脆弱性が、CISAにより悪用確認脆弱性リストへ追加され、watchTowrはインターネット公開サーバーへの探索を観測したと伝えられている。

修正版の公開から短期間で、悪用確認脆弱性リストへの追加と探索行為の観測が伝えられた点が注目される。
CVSS 10.0という最高スコアに加え、一定条件でログイン不要となり得ることや、ローカルファイル・認証情報へのアクセスにつながり得ることから、外部公開されたセルフマネージド環境では更新が優先課題と報じられている。