Rob Wright,高级新闻主任, Dark Reading
2026年9月14日 3分钟阅读
来源: Infinite Creations via Getty Images
威胁行为者正在利用上周披露的严重性最高的GitLab漏洞，这可能使对手能够深入了解组织的软件供应链。CVE-2026-85706是GitLab在9月10日披露并修补的一个路径遍历漏洞，允许未经身份验证的个人从GitLab服务器读取任意文件。根据GitLab的公告，该漏洞的CVSS评分为10分（满分10分），源于平台的存储库提交API中的路径限制不当和缺失的身份验证检查。该漏洞存在于GitLab社区版（CE）和企业版（EE）中，组织使用这些版本在其环境中设置自托管的GitLab实例。
网络安全和基础设施安全局（CISA）在周五将CVE-2026-85706添加到其已知被利用漏洞目录中，并要求联邦机构在今天之前修补或禁用其自管理的GitLab实例。同一天，网络安全供应商watchTowr的研究人员在其蜜罐网络上观察到了针对该漏洞的行为探测。
相关内容：'沙虫'将思科漏洞连接以部署Cyclops Blink
自那时以来情况变得更糟。
GitLab漏洞危及供应链
watchTowr的威胁情报负责人Jake Knott告诉Dark Reading，恶意活动在周五迅速升级为全面利用和敏感文件的外泄。“在周末，我们还观察到威胁行为者倾倒了配置文件和受害系统的SSH配置，”Knott说。“这种组合，正如你可以想象的那样，具有威力，因为它可能允许威胁行为者提取密码，连接到允许密码身份验证的实例，并在适当条件下访问主机。”
尽管CVE-2026-85706的利用使攻击者获得了对GitLab实例的只读访问权限，但攻击者可以利用该访问权限获取敏感信息，如凭据和CI/CD机密；这不仅可能导致GitLab实例的完全妥协，还可能使攻击者进一步进入组织的开发环境和其他关键下游系统。Knott将该漏洞描述为一种使供应链攻击成为可能的漏洞。
watchTowr指出，CVE-2026-85706是最近针对GitLab的第二个关键漏洞。上个月，攻击者在CVE-2026-19478（一个GraphQL代码注入漏洞）公开披露后不久就进行了利用。
缓解CVE-2026-85706
好消息是，Knott表示，利用CVE-2026-85706需要目标组织在GitLab服务器上至少有一个公共项目。坏消息是，这“可能是一种相对常见的配置”，一些组织可能并不知道他们在该平台上有公共项目，他说。
相关内容：威胁行为者在3天内生成100万封个性化欺诈电子邮件
“运行GitLab的组织可能会限制对系统的访问，这意味着项目在未经身份验证的情况下对外部人员不可见，但这并不意味着被创建为'公共'的项目就无法访问，”Knott说。“在某些情况下，公司可能希望特定的代码库公开曝光。在其他情况下，他们可能错误地假设该项目在其GitLab系统中仍然是'内部'的。”
watchTowr敦促GitLab客户将其自托管的GitLab实例更新到GitLab社区版和企业版的19.3.2、19.2.6或19.1.8版本。如果无法更新，他们应立即移除对其实例的所有公共访问。根据GitLab的说法，GitLab专用客户无需采取行动。在线GitLab.com平台已经修补了该漏洞。
此外，watchTowr建议安全团队检查存储库提交API上的访问日志，以查找任何可疑或未经身份验证的请求，这些请求可能表明探测或利用活动。
相关内容：Papercut AI蜂群攻击预示着网络杀伤链的变化
关于作者
高级新闻主任, Dark Reading
Rob Wright是一名拥有超过25年技术新闻记者经验的资深记者。在加入Dark Reading担任高级新闻主任之前，他在TechTarget的SearchSecurity工作了十多年，担任过多个职务，包括高级新闻主任、执行编辑和编辑主任。在此之前，他在CRN、Tom's Hardware Guide和VARBusiness Magazine工作了几年，报道各种技术主题和趋势。
在2000年成为技术记者之前，他曾在弗吉尼亚州担任周报和日报记者，并在1998年和1999年获得三项弗吉尼亚新闻协会奖。在TechTarget和Dark Reading期间，他获得了多个Azbee奖，包括2026年国家银奖，表彰其关于氛围编码的系列报道。
在Dark Reading，Rob目前负责安全运营、云安全和互联网基础设施。他对恶意广告活动和证书授权行业有浓厚的兴趣，并在这两个主题上撰写了大量文章。他于1997年毕业于里士满大学，获得新闻和英语学位。作为马萨诸塞州的本地人，他现居波士顿地区。