Уязвимость критического уровня в GitLab была использована спустя день после её обнаружения. Она позволяет неавторизованным злоумышленникам читать произвольные файлы с сервера GitLab. WatchTowr сообщает, что злоумышленники начали использовать недавно исправленную уязвимость в GitLab спустя день после ее публичного раскрытия. CVE-2026-85706 (CVSS 10/10) затрагивает все версии Community Edition (CE) и Enterprise Edition (EE) начиная с 18.7 (до 19.1.8), 19.2 (до 19.2.6) и 19.3 (до 19.3.2). В пятницу, на следующий день после того, как GitLab объявила о выпуске патчей для устранения уязвимости, WatchTowr зафиксировала первые попытки эксплуатации этой уязвимости в реальных условиях. Причем это уже второй случай критической уязвимости GitLab за последние недели, после предыдущей уязвимости внедрения кода GraphQL (CVE-2026-19478), которая была практически сразу же активно использована злоумышленниками. По данным WatchTowr, в ближайшее время, вероятно, последует массовая эксплуатация этой уязвимости. Пользователям следует просматривать файлы журналов на предмет HTTP POST-запросов к URI /api/v4/projects/{id}/repository/commits/, содержащих параметры file.path, чтобы выявить потенциальные попытки эксплуатации уязвимостей. Самостоятельно размещенные экземпляры GitLab следует обновить как можно скорее, поскольку новые патчи устраняют еще 17 уязвимостей, включая еще одну критическую ошибку. Критическая CVE-2026-87719 (CVSS 9,9/10) представляет собой проблему небезопасной десериализации в сериализаторе подписок GraphQL, которая позволяет получить доступ к «конфигурациям экземпляров расширенного поиска и конфиденциальным учетным данным». В версиях GitLab CE/EE 19.1.8, 19.2.6 и 19.3.2 также устранены шесть серьезных уязвимостей безопасности, которые могли позволить удаленно выполнять код, получать доступ к защищенным переменным CI/CD, осуществлять XSS-атаки и DoS. Привлекательность GitLab для злоумышленников очевидна, поскольку несанкционированный доступ позволяет злоумышленнику получить доступ к исходному коду, секретам CI/CD, учетным данным и внедрять код в конвейеры сборки, получая доступ к любому последующему элементу или отравляя его, что, как показывает практика, стало излюбленным способом атаки со стороны киберподаолья.