Внеплановый релиз ликвидирует опасную уязвимость в API
Компания GitLab 17 августа 2026 года выпустила экстренное обновление безопасности для устранения критической уязвимости в GraphQL API, позволяющей неаутентифицированным удаленным злоумышленникам изменять или полностью удалять публичные проекты и пользовательские данные на self-managed серверах. Уязвимости присвоен индекс CVSS 9.4 из 10, что указывает на высокий уровень опасности для организаций, эксплуатирующих собственные экземпляры платформы.
Проблема, зарегистрированная под номером CVE-2026-19478, связана с некорректной обработкой директив GraphQL. Для реализации атаки не требуются учетные данные или действия со стороны пользователя: один сформированный HTTP-запрос позволяет перезаписывать состояние репозиториев, подделывать записи аудита и блокировать учетные записи администраторов.
Внеплановый релиз вышел через пять дней после планового обновления. Помимо основной проблемы, разработчики устранили уязвимость CVE-2026-19650 (CVSS 7.1), связанную с межсайтовой подделкой запроса (CSRF) в обработчике GraphQL. В отличие от CVE-2026-19478, эксплуатация второй ошибки требует взаимодействия с пользователем.
Оценки исследователей и технические риски
Специалисты компании watchTowr подтвердили, что смогли воспроизвести вектор атаки через несколько минут после публикации бюллетеня безопасности. Исследователи подчеркивают, что отсутствие барьеров аутентификации делает серверы легкой мишенью для автоматизированных сканеров.
«Обнаруженная уязвимость позволяет неаутентифицированному нападающему удалять публично доступные проекты GitLab и изменять их состояние», — заявил Джейк Нотт (Jake Knott), ведущий исследователь безопасности watchTowr.
На момент публикации сведений о фактах активного использования уязвимости злоумышленниками зафиксировано не было. Однако эксперты предупреждают, что вредоносный код может появиться в открытом доступе в ближайшее время.
Затронутые версии и рекомендации по защите
Уязвимость затрагивает дистрибутивы GitLab Community Edition (CE) и Enterprise Edition (EE), начиная с версии 18.2. Исправления внесены в ветки 18.11.11, 19.0.8, 19.1.6 и 19.2.4. Версии с 18.2 по 18.10 отдельно не обновляются — пользователям необходимо выполнить переход на один из исправленных релизов.
Облачные сервисы GitLab.com и GitLab Dedicated были обновлены автоматически. Администраторам локальных серверов рекомендуется незамедлительно установить патчи. В качестве временной меры защиты эксперты предлагают ограничить доступ к эндпоинту api/graphql или отключить публичный доступ к репозиториям.