3 октября 2026 года. Инфраструктура ИИ быстро становится частью атакующей поверхности предприятий, и CVE-2026-90970 является хорошим примером того, почему.
Отчеты о уязвимостях нулевого дня
Уязвимость затрагивает GitLab AI Gateway и имеет оценку CVSS 9.9 (Критическая). Она позволяет аутентифицированному пользователю с доступом к платформе Duo Agent потенциально выйти за пределы песочницы, используемой шаблонами запросов, и выполнять произвольные команды на хосте AI Gateway.
Что произошло?
Проблема заключается в уязвимости инъекции шаблона и выхода из песочницы в функциональности custom-flow. Специально подготовленная конфигурация потока может выйти за пределы предназначенной песочницы шаблона. Если уязвимость будет успешно использована, злоумышленник сможет выполнять команды на сервере шлюза.
Путь атаки в основном следующий:
Взлом и кража
Аутентифицированный доступ → Зловредный поток → Выход из песочницы → Выполнение команд
Злоумышленнику требуется доступ к затронутой функциональности платформы Duo Agent, но дополнительное взаимодействие пользователя не требуется, как только этот доступ получен.
Затронутые версии
Затронутые версии включают:
18.1.6–19.2.3
19.3.0–19.3.1
19.4.0
Исправленные версии:
19.2.4
19.3.2
19.4.1
Уязвимость в первую очередь важна для организаций, использующих развертывания AI Gateway на собственных серверах.
Используется ли она?
В настоящее время нет подтвержденных доказательств активной эксплуатации, и CVE-2026-90970 в настоящее время не включен в каталог CISA KEV. Тем не менее, уязвимость с рейтингом 9.9, приводящая к выполнению команд, не должна оставаться в бэклоге.
Платформа разведки угроз
Что должны сделать команды безопасности?
Если вы используете развертывание AI Gateway на собственных серверах:
Определите развернутую версию.
Обновитесь до исправленного релиза.
Проверьте разрешения платформы Duo Agent и custom-flow.
Проверьте журналы шлюза и хоста на наличие подозрительных конфигураций потоков или неожиданного выполнения команд, если уязвимая версия была раскрыта.
Проверьте, к каким учетным данным, токенам и внутренним сервисам шлюз мог получить доступ.
Более важный урок
Интересная часть CVE-2026-90970 заключается не только в RCE.
Консультирование по безопасности инфраструктуры
Это показывает, как рабочий процесс ИИ может стать путем атаки на инфраструктуру. Шаблоны запросов, потоки агентов и AI шлюзы могут выглядеть как компоненты на уровне приложений, но как только они могут влиять на выполнение на стороне сервера, они становятся частью границы безопасности.
Безопасность ИИ и традиционная безопасность инфраструктуры теперь тесно связаны.