علت اصلی آسیب‌پذیری گیت‌لب و نسخه‌های تحت تأثیر
به گفته گیت‌لب، این آسیب‌پذیری ناشی از محدودسازی نادرست مسیر (Improper Path Confinement) و ضعف در اعمال کنترل‌های احراز هویت (Authentication Enforcement) در API مربوط به کامیت‌های مخازن است.
این آسیب‌پذیری، نسخه‌های زیر از Community Edition (CE) و Enterprise Edition (EE) را تحت تأثیر قرار می‌دهد:
- تمام نسخه‌های 18.7 تا پیش از نسخه 19.1.8
- تمام نسخه‌های 19.2 تا پیش از نسخه 19.2.6
- تمام نسخه‌های 19.3 تا پیش از نسخه 19.3.2
شرکت watchTowr اعلام کرده است که از ساعت 06:00 به وقت UTC در 11 سپتامبر 2026، فعالیت مهاجمان برای سوءاستفاده از این آسیب‌پذیری در اینترنت شناسایی شده است. بر اساس گزارش watchTowr، مهاجمان می‌توانند با سوءاستفاده از این آسیب‌پذیری، فایل‌های لاگ و فایل‌های پیکربندی اختصاصی گیت‌لب را بخوانند و به اعتبارنامه‌ها، اطلاعات حساس و سایر داده‌های مهم دسترسی پیدا کنند.
چرا این آسیب‌پذیری برای مهاجمان جذاب است؟
به گفته پژوهشگران شرکت watchTowr، این دومین آسیب‌پذیری گیت‌لب با شدت بحرانی طی هفته‌های اخیر است. پیش از این، آسیب‌پذیری تزریق کد در GraphQL (Code Injection) با شناسه CVE-2026-19478 نیز تقریباً بلافاصله پس از افشا، به‌صورت فعال مورد سوءاستفاده قرار گرفته بود.
برای سوءاستفاده از این آسیب‌پذیری، تنها وجود یک پروژه عمومی (Public Project) روی نمونه موردنظر کافی است.
دلیل جذابیت این آسیب‌پذیری برای مهاجمان، سطح دسترسی گسترده‌ای است که در صورت موفقیت حمله در اختیار آن‌ها قرار می‌گیرد. دسترسی غیرمجاز می‌تواند راه را برای دستیابی به کد منبع ، اطلاعات حساس CI/CD و اعتبارنامه‌ها باز کند. همچنین مهاجم می‌تواند کد مخرب را به پایپ‌لاین‌های ساخت (Build Pipelines) تزریق کند و از این طریق در ادامه زنجیره به سامانه‌ها و کامپوننت‌های وابسته دسترسی پیدا کرده یا آن‌ها را آلوده و دستکاری کند. این شیوه حمله طی سال جاری نیز بارها مورد استفاده مهاجمان قرار گرفته است.
جزئیات آسیب‌پذیری CVE-2026-87719
گیت‌لب در نسخه‌های 19.3.2، 19.2.6 و 19.1.8، یک آسیب‌پذیری بحرانی دیگر را نیز برطرف کرده است. این آسیب‌پذیری با شناسه CVE-2026-87719 و امتیاز CVSS 9.9، از نوع سریال‌زدایی ناامن (Insecure Deserialization) در Enterprise Edition (EE) است و می‌تواند منجر به افشای اطلاعات شود.
بر اساس اعلام گیت‌لب، یک کاربر احراز هویت‌شده که به Duo Chat دسترسی دارد، می‌تواند با ارسال یک آرگومان دست‌کاری‌شده در یک درخواست Subscription در GraphQL، سازوکار سریال‌زدایی را دور بزند و با استفاده از بازیابی Objectهای سرور (Server Object Lookup) به پیکربندی نمونه Advanced Search و اعتبارنامه‌های حساس دسترسی پیدا کند.
ضرورت نصب فوری پچ‌های امنیتی گیت‌لب
سازمان‌هایی که نصب‌های گیت‌لب مدیریت‌شده توسط خود سازمان (Self-Managed) را از طریق اینترنت در دسترس قرار داده‌اند، باید هرچه سریع‌تر پچ‌های امنیتی مربوطه را نصب کنند. در صورت عدم نیاز به دسترسی عمومی، می‌توان دسترسی اینترنتی به این نمونه را مسدود کرد تا ریسک سوءاستفاده از این آسیب‌پذیری کاهش یابد.
پژوهشگران هشدار داده‌اند که با توجه به سابقه سوءاستفاده از آسیب‌پذیری‌های مشابه، احتمال دارد این آسیب‌پذیری نیز به‌زودی هدف حملات گسترده و غیرهدفمند قرار گیرد؛ بنابراین سازمان‌ها فرصت چندانی برای ایمن‌سازی سامانه‌های خود ندارند.
برای شناسایی سوءاستفاده‌های احتمالی، بررسی لاگ‌های سیستم و درخواست‌های HTTP POST ارسال‌شده به مسیر زیر توصیه می‌شود:
/api/v4/projects/{id}/repository/commits/وجود پارامتر file.Path در این درخواست‌ها می‌تواند نشانه‌ای از تلاش برای سوءاستفاده از آسیب‌پذیری باشد.
آژانس امنیت سایبری و امنیت زیرساخت آمریکا (CISA) در 11 سپتامبر 2026، گزارش‌های مربوط به سوءاستفاده فعال از CVE-2026-85706 را تأیید کرد و این آسیب‌پذیری را به فهرست KEV افزود.
بر اساس الزامات CISA، سازمان‌های شعبه اجرایی غیرنظامی دولت فدرال آمریکا (FCEB) موظف هستند پچ‌های امنیتی مربوط به این آسیب‌پذیری را حداکثر تا 14 سپتامبر 2026 اعمال کنند.
