Новая критическая уязвимость в GitLab (CVE-2026-85706) детектируется продуктами ПМ

Детектирование

Данные по CVE были опубликованы 12 сентября 2026 года. В тот же день системой AML Web Protection зафиксированы первые попытки сканирования защищаемых ресурсов на наличие уязвимости, 13 сентября системой обнаружены скрытые попытки эксплуатации уязвимости с явным намерением прочитать системные и конфигурационные файлы.

Описание уязвимости

Уязвимость CVE-2026-85706, позволяющая неаутентифицированному пользователю читать произвольные файлы на сервере, получила наивысшую оценку по шкале CVSS — 10.0 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N). Основные причины такой оценки:

• нарушителю не нужны никакие данные для аутентификации
• простая эксплуатация
• полная автоматизация для реализации атаки

Кто подвержен

Уязвимость затрагивает GitLab выше 18.7 и оба продуктовых направления GitLab — Community Edition (CE) и Enterprise Edition (EE), начиная с релиза 18.7. Вероятность успешной эксплуатации повышается, если в уязвимой версии GitLab сконфигурирован хотя бы один публичный репозиторий.

Наличие официальных исправлений и рекомендаций

Производитель уже выпустил официальные патчи:

• для ветки 19.1.* - версия 19.1.8
• для ветки 19.2.* - версия 19.2.6
• для ветки 19.3.* - версия 19.3.2

Индикаторы в журналах веб-сервера

Пример запроса от сканера для поиска публичных репозиториев:

51.79.*.* - - [12/Sep/2026:07:18:35 +0000] "GET /api/v4/projects?order_by=last_activity_at&sort=desc&per_page=20&page=1&visibility=public HTTP/1.1" 200 2 "" "CVE-2026-85706-PoC/3.0" -

Большинство сканеров и эксплойтов начинают работу с обращения на страницу аутентификации и запроса файла манифеста GitLab:

38.60.*.* - - [13/Sep/2026:03:19:57 +0000] "GET /users/sign_in HTTP/1.1" 200 14464 "" "cve-2026-85706-poc" -

38.60.*.* - - [13/Sep/2026:03:20:00 +0000] "GET /-/manifest.json HTTP/1.1" 200 719 "" "cve-2026-85706-poc" -

Примеры запросов на чтение системных и конфигурационных файлов (могут встречаться как POST, так и PUT-методы):

64.118.*.* - - [14/Sep/2026:13:49:07 +0000] "POST /api/v4/projects/1/repository/commits?file=&file.path=/opt/gitlab/embedded/service/gitlab-rails/config/gitlab.yml&file.size=1&Content-Type=application/x-www-form-urlencoded HTTP/1.1" 404 35 "" "cve-2026-85706-poc/2.0" -

64.118.*.* - - [14/Sep/2026:13:49:10 +0000] "PUT /api/v4/projects/1/repository/files/x?file=&file.path=/opt/gitlab/embedded/service/gitlab-rails/config/gitlab.yml&file.size=1&Content-Type=application/x-www-form-urlencoded HTTP/1.1" 401 30 "" "cve-2026-85706-poc/2.0" -

64.118.*.* - - [14/Sep/2026:13:49:18 +0000] "POST /api/v4/projects/1/repository/commits?file=&file.path=/etc/hostname&file.size=1&Content-Type=application/x-www-form-urlencoded HTTP/1.1" 404 35 "" "cve-2026-85706-poc/2.0" -

Пользователям AML Web Protection

Система AML Web Protection с версией модели 06-08-2026_4 успешно детектирует как работу сканеров этой уязвимости, так и использование полноценных эксплойтов. Выявленные атакующие сессии имеют разную длительность: от 5 секунд до 9 минут. При включенной блокировке в AML атака на уязвимость GitLab будет остановлена автоматически.

Владельцам уязвимых веб-ресурсов

Всем пользователям с уязвимой версией GitLab рекомендуются следующие меры:

• Отключить репозитории доступные без аутентификации до момента обновления на безопасную версию
• Провести обновление GitLab до версий с исправленной уязвимостью CVE-2026-85706
• Провести анализ журналов веб-сервера на наличие аналогичных запросов (см. раздел Индикаторы в журналах веб-сервера). Признаком успешной эксплуатации уязвимости может быть возврат кода 200 и размера ответа более 100 байт для запросов на url /api/v4/projects/1/repository/

Специалисты ПМ готовы помочь в анализе журналов веб-сервера. Вы можете отправить нам запрос через форму обратной связи.

Заключение

Уязвимость CVE-2026-85706 несет критический риск для веб-ресурсов на базе GitLab. Простота эксплуатации, отсутствие параметров аутентификации и полная автоматизация предоставляют все условия для массовых атак.

Данные по угрозе доступны на портале AM Threat Intelligence Portal. Также специалисты ПМ разработали сигнатурные правила для детектирования атак на эту уязвимость, в описании которых представлена информация о причинах появления уязвимости.