Krytyczna luka w GitLab CE/EE pozwala bez logowania czytać pliki z serwera, w tym hasła i klucze. Ataki ruszyły dzień po poprawce, CISA je potwierdza. Zaktualizuj do 19.3.2, 19.2.6 lub 19.1.8 i wymień sekrety.
Ten alert jest dla zarządu, CTO i CFO firm, które trzymają kod źródłowy i procesy wdrożeń w GitLab na własnych serwerach. Werdykt: jeśli Wasz GitLab ma wersję 18.7 lub nowszą, ale starszą niż 19.1.8, 19.2.6 lub 19.3.2 w swojej gałęzi, zaktualizujcie go dziś, a potem sprawdźcie, czy nie wyciekły hasła i klucze zapisane na serwerze; GitLab.com i GitLab Dedicated są już zabezpieczone przez producenta.
GitLab 10 września 2026 roku wydał krytyczną poprawkę, a już następnego dnia amerykańska agencja CISA dopisała lukę CVE-2026-85706 do katalogu KEV, czyli listy podatności, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Luka pozwala osobie z internetu, bez logowania, odczytać dowolne pliki z serwera GitLab, w tym pliki konfiguracyjne z hasłami i kluczami.
Według firmy watchTowr pierwsze próby ataków pojawiły się 11 września 2026 roku około 6:00 UTC, a w kolejnych dniach przestępcy skutecznie wykradali pliki z sekretami i konfiguracją SSH serwerów. CISA dała amerykańskim agencjom federalnym trzy dni na naprawę; termin minął 14 września 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-85706 |
Data dodania do CISA KEV | 2026-09-11 |
Termin naprawy wg CISA | 2026-09-14 (3 dni od wpisu) |
Produkt | GitLab Community Edition (CE) i Enterprise Edition (EE), instalacje samodzielnie utrzymywane (wg Rapid7: Omnibus, ze źródeł, Helm); podatny element: API commitów repozytorium. GitLab.com i GitLab Dedicated zabezpieczone przez producenta |
Wersje zagrożone | Od 18.7 przed 19.1.8; od 19.2 przed 19.2.6; od 19.3 przed 19.3.2. Według watchTowr do ataku wystarczy co najmniej jeden projekt publiczny na instancji |
Wersje bezpieczne | 19.1.8, 19.2.6, 19.3.2 lub nowsze (wydane 10 września 2026) |
Typ podatności | Przechodzenie przez katalogi (path traversal) z brakiem wymuszenia uwierzytelnienia; CWE-22 wg GitLab i NVD, CWE-35 wg katalogu CISA KEV |
Ocena CVSS | GitLab: 10.0 (CVSS 3.1, KRYTYCZNA): atak przez sieć, bez konta, zmieniony zakres, wysoki wpływ na poufność i integralność. NVD nie wystawił własnej oceny |
Wyobraź sobie archiwum firmy z publiczną czytelnią. Każdy może przyjść i poprosić o dokumenty z półki „dla gości”. Archiwista przynosi to, co wpisano na rewersie, i nie sprawdza, czy numer regału nie prowadzi przypadkiem do zamkniętego skarbca. Wystarczy więc na rewersie z czytelni wpisać ścieżkę do sejfu z kluczami, żeby dostać do ręki klucze do całego budynku.
GitLab to takie archiwum dla firmy tworzącej oprogramowanie: przechowuje kod, historię zmian i automaty, które budują i wdrażają aplikacje. Luka pozwala z poziomu publicznej części GitLab „zamówić” dowolny plik z serwera, w tym pliki z hasłami do baz danych, kluczami i tokenami do chmury.
💡 GitLab to platforma do przechowywania kodu i automatyzacji wdrożeń (CI/CD). Path traversal to błąd, w którym ktoś podaje ścieżkę do pliku wychodzącą poza dozwolony katalog. Projekt publiczny to repozytorium widoczne dla każdego bez logowania. Sekrety CI/CD to hasła i klucze używane przez automaty wdrożeniowe. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Osoba z internetu przegląda projekt publiczny | Widzi tylko kod tego projektu | Może odczytać dowolny plik z serwera |
Pliki konfiguracyjne GitLab z hasłami | Dostępne tylko dla administratora serwera | Mogą trafić do atakującego |
Konfiguracja SSH serwera | Chroniona w systemie | Według watchTowr wykradana w atakach |
Sekrety CI/CD i klucze do chmury | Używane tylko przez automaty firmy | Zagrożone wyciekiem |
Aktualizacja do wersji z poprawką | Zamyka lukę | Zamyka lukę, ale nie unieważnia już skradzionych haseł |
źródło: magnific.comPoniżej typowy przebieg ataku oparty na obserwacjach watchTowr. Luka nie wymaga konta, według watchTowr wystarcza jedno żądanie, a CISA ocenia atak jako możliwy do zautomatyzowania.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wyszukiwanie celów | T-godziny | Skanowanie internetu w poszukiwaniu instancji GitLab z projektami publicznymi | Lista serwerów do ataku |
2. Sprawdzenie podatności | T+0 min | Próbny odczyt pliku z serwera | Potwierdzenie podatnej wersji |
3. Kradzież plików | T+minuty | Odczyt plików konfiguracyjnych GitLab i logów | Hasła, tokeny, sekrety w rękach atakującego |
4. Kradzież konfiguracji SSH | T+minuty do godzin | Odczyt konfiguracji SSH systemu (obserwacja watchTowr) | Możliwa droga do zalogowania się na serwer |
5. Wejście dalej | T+godziny do dni | Użycie skradzionych haseł do bazy, chmury, repozytoriów, serwera | Dostęp do kodu, danych i infrastruktury |
6. Wykorzystanie | T+dni | Kradzież kodu, podmiana kodu w potokach wdrożeń, szantaż | Wyciek, zatrucie oprogramowania, straty |
GitLab jest sercem firmy programistycznej: zawiera kod, historię zmian, dane dostępowe automatów wdrożeniowych i często klucze do środowisk produkcyjnych. Według BleepingComputer z GitLab korzysta ponad połowa firm z listy Fortune 100. Jake Knott z watchTowr zwraca uwagę, że to druga w ostatnich tygodniach krytyczna luka GitLab wykorzystana niemal natychmiast po publikacji.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Awaryjna aktualizacja z przestojem, wymiana wszystkich haseł i tokenów, wstrzymanie wdrożeń | Godziny do dni | 20 tys. do 150 tys. PLN (przestój zespołów, praca administratorów) |
Bezpieczeństwo danych | Wyciek kodu źródłowego, sekretów, danych dostępowych do baz i chmury | Minuty od ataku | 50 tys. do 400 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Nieautoryzowane koszty chmury, szantaż, kary umowne, utrata przewagi przez wyciek kodu | Dni do tygodni | 50 tys. do 1 mln PLN łącznie |
Reputacyjny | Utrata zaufania klientów, jeśli wyciekł ich kod lub zatruto dostarczane oprogramowanie | Tygodnie do miesięcy | 100 tys. do 1 mln PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia danych osobowych do UODO w ciągu 72 godzin, jeśli wyciek objął dane osobowe; kary RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności; odpowiedzialność umowna za kod i dane klientów | 72 godziny od wykrycia | 15 tys. do 150 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z GitLab dostępnym z internetu i projektem publicznym
Wpływ
5 | . . . . ■ ← KRYTYCZNA
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo
GitLab tylko w sieci wewnętrznej lub bez projektów publicznych:
prawdopodobieństwo niższe (2-3), aktualizacja nadal obowiązkowa. Interpretacja: ocena 10.0, brak wymogu logowania, ataki od pierwszego dnia po publikacji i potwierdzone wykradanie sekretów dają najwyższy wpływ i prawdopodobieństwo; to sytuacja KRYTYCZNA.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić wszystkie samodzielnie utrzymywane instancje GitLab (także u wykonawców), ich wersje i dostępność z internetu | Dziś | CTO / zespół DevOps |
2 | 🔴 NATYCHMIAST | Zaktualizować do 19.3.2, 19.2.6 lub 19.1.8 albo nowszej, planując krótki przestój na migracje bazy w instalacjach jednowęzłowych | Dziś | Zespół DevOps |
3 | 🔴 NATYCHMIAST | Do czasu aktualizacji ograniczyć dostęp do GitLab z internetu tylko do sieci firmowej lub VPN | Dziś | Administrator sieci |
4 | 🔴 NATYCHMIAST | Przejrzeć logi pod kątem prób ataku od 10 września 2026 roku, korzystając z reguł wykrywania opublikowanych przez GitLab | Dziś | Zespół bezpieczeństwa |
5 | 🟠 PILNIE | Jeśli instancja była podatna i dostępna z internetu: wymienić hasła i klucze z plików konfiguracyjnych GitLab, sekrety CI/CD, tokeny do chmury i klucze SSH serwera | Do 3 dni | Zespół DevOps |
6 | 🟠 PILNIE | Sprawdzić logowania do serwera, bazy danych i chmury z nieznanych adresów oraz nietypowe zmiany w potokach wdrożeń | Do 3 dni | Zespół bezpieczeństwa |
7 | 🟡 WAŻNIE | Przejrzeć, które projekty muszą być publiczne, i wprowadzić zasadę szybkiego łatania GitLab (w ciągu 24-72 godzin dla poprawek krytycznych) | Do 30 dni | CTO |
GitLab wydał poprawki dla wszystkich wspieranych gałęzi, więc aktualizacja jest dostępna; producent nie opisał obejść. Poniższe miary tylko ograniczają ryzyko do czasu aktualizacji. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Odcięcie GitLab od internetu, dostęp tylko z sieci firmowej lub VPN (zalecenie z doniesień branżowych: ograniczyć publiczny dostęp) | Wysoka | Średnia: wymaga uwzględnienia wykonawców i integracji |
Czasowa zmiana projektów publicznych na wewnętrzne lub prywatne (warunek ataku wg watchTowr, niepotwierdzony przez GitLab) | Średnia | Łatwa, ale może przerwać udostępnianie kodu na zewnątrz |
Reguły wykrywania prób ataku opublikowane przez GitLab w systemie monitorowania | Niska jako ochrona, przydatne do wykrycia | Średnia |
Przeniesienie sekretów z plików konfiguracyjnych do menedżera sekretów | Średnia: ogranicza skutki przyszłych wycieków | Trudna, projekt na tygodnie |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja GitLab | Od 18.7 do 19.3.1 bez poprawki | 19.1.8, 19.2.6, 19.3.2 lub nowsza |
Odczyt plików serwera bez logowania | Możliwy | Zablokowany |
Hasła, klucze, sekrety CI/CD | Mogły wyciec | Wymienione |
Dostęp z internetu | Każdy może dotrzeć do instancji | Tylko sieć firmowa, VPN lub świadomie publiczne projekty |
Wiedza o incydencie | Brak | Logi od 10 września przejrzane, wynik udokumentowany |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). CISA w ocenie SSVC: wykorzystanie aktywne, atak automatyzowalny, wpływ techniczny całkowity. watchTowr: udane wykradanie plików z sekretami i konfiguracją SSH |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 10.0 KRYTYCZNA wg GitLab (CVSS 3.1) |
PoC dostępny publicznie? | Brak potwierdzenia publikacji exploita; według watchTowr atak wymaga jednego żądania i był sondowany dzień po publikacji poprawki |
Liczba atakowanych firm | Brak publicznych danych o ofiarach i liczbie podatnych instancji |
Inne luki w tym wydaniu | 17 innych poprawek, w tym krytyczna CVE-2026-87719 (CVSS 9.9) w GitLab EE, niewykorzystywana wg Rapid7 w dniu publikacji |
Sygnały zagrożenia dla CVE-2026-85706
CVSS 3.1 (GitLab) 10.0/10 ████████████████████ KRYTYCZNA
CISA KEV TAK ████████████████████ termin 3 dni
Od poprawki do ataku 1 dzień ████████████████████ watchTowr
Wymagane logowanie NIE ████████████████████ wystarczy projekt publiczny
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2026-09-10 GitLab Critical Patch Release 19.3.2, 19.2.6, 19.1.8
2026-09-11 watchTowr: pierwsze próby ataków ok. 06:00 UTC
2026-09-11 Wpis do katalogu CISA KEV
2026-09-12 Publikacja rekordu CVE-2026-85706 (UTC)
2026-09-12 watchTowr: udane wykradanie plików z sekretami
/13 i konfiguracją SSH (weekend)
2026-09-14 Termin naprawy wg CISA; aktualizacja wpisu w NVD
2026-09-17: TUTAJ JESTEŚMY Noty wydania z poprawką i regułami wykrywania: GitLab Critical Patch Release 19.3.2, 19.2.6, 19.1.8 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-85706 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy mamy własny GitLab i w jakiej wersji | CTO | DZISIAJ |
2 | Zatwierdzić awaryjną aktualizację z krótkim przestojem | CTO | DZISIAJ |
3 | Otrzymać potwierdzenie aktualizacji każdej instancji | CTO | DZISIAJ |
4 | Otrzymać wynik przeglądu logów i decyzję o wymianie sekretów | CTO | DO JUTRA |
5 | Zapytać wykonawców, czy ich GitLab z naszym kodem był podatny i zaktualizowany | CTO | DO JUTRA |
6 | Sprawdzić rachunki za chmurę od 10 września 2026 roku pod kątem nietypowych kosztów | CFO | DO JUTRA |
7 | Zarezerwować budżet na analizę powłamaniową i sprawdzić warunki polisy cyberubezpieczenia | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy używamy GitLab na własnych serwerach, czy GitLab.com lub Dedicated? | [własny / GitLab.com / Dedicated] | 🔴 |
2 | Jaka jest wersja każdej instancji? | [wersja] | 🔴 |
3 | Czy GitLab jest dostępny z internetu i czy ma projekty publiczne? | TAK / NIE | 🔴 |
4 | Kiedy zainstalowaliśmy 19.3.2, 19.2.6 lub 19.1.8? | [data] | 🔴 |
5 | Czy logi od 10 września wykazały próby odczytu plików? | TAK / NIE, [data przeglądu] | 🔴 |
6 | Czy wymieniliśmy hasła, klucze i sekrety CI/CD dostępne na serwerze? | TAK / NIE, [data] | 🟠 |
7 | Ile czasu zajmuje nam wdrożenie krytycznej poprawki GitLab? | [liczba godzin] | 🟡 |
CVE-2026-85706 pozwala bez logowania odczytać dowolne pliki z samodzielnie utrzymywanego serwera GitLab, a według watchTowr przestępcy od dnia po publikacji poprawki wykradają w ten sposób sekrety i konfigurację SSH; CISA potwierdza wykorzystanie. Aktualizacja do 19.3.2, 19.2.6 lub 19.1.8 zamyka lukę, ale firmy, których instancja była dostępna z internetu, muszą też wymienić hasła i klucze zapisane na serwerze.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułGoogle i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułWykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.