O Cybersecurity and Infrastructure Security Agency (CISA) incluiu uma falha de Server‑Side Request Forgery (SSRF) do GitLab no Known Exploited Vulnerabilities (KEV) catalog, indicando exploração ativa em ambiente real.
O que se sabe
A vulnerabilidade foi identificada como CVE‑2021‑39935 e afeta tanto as edições Community quanto Enterprise do GitLab. Segundo os relatórios, o vetor está no CI Lint API — uma interface usada para validar arquivos de configuração de pipelines CI/CD — que permite a construção de requisições server‑side maliciosas a partir do servidor GitLab.
Vetor e impacto técnico
- Tipo: SSRF (CWE‑918).
- Componente afetado: CI Lint API do GitLab Community & Enterprise.
- Risco operacional: atacantes externos podem forjar requisições originadas do próprio servidor GitLab para serviços internos ou metadados de nuvem, possibilitando varredura de redes internas, acesso a serviços de metadados e interação com APIs internas sem a devida autenticação.
Evidências e divulgação
A inclusão no catálogo KEV pela CISA — com entrada em 3 de fevereiro de 2026, conforme noticiado — significa que agências ou pesquisadores observaram exploração ativa. Os relatos públicos não descrevem, no momento, campanhas específicas ou indicadores de comprometimento amplamente divulgados; a autoridade limita‑se a classificar o comportamento como exploração real.
Quem está em risco
Instâncias GitLab públicas ou privadas que exponham o CI Lint API e não a tenham corrigido estão vulneráveis — isso inclui organizações de pequeno porte que usam a edição Community e grandes clientes da edição Enterprise. Pela natureza do componente (CI/CD), há risco elevado para cadeias de desenvolvimento, repositórios e infraestrutura de build que dependem de GitLab para automação.
Orientações práticas (conforme as fontes)
- Aplicar imediatamente os patches disponibilizados pelo GitLab; a notificação pública orienta correção imediata.
- Se não for possível atualizar de imediato, implementar as soluções alternativas fornecidas pelo fornecedor ou desativar temporariamente a funcionalidade do CI Lint API para mitigar o vetor de ataque.
- Rever logs de acesso ao GitLab em busca de padrões anômalos: requisições atípicas ao endpoint de CI Lint e conexões de saída inesperadas originadas dos servidores GitLab.
- Entidades federais abrangidas pela Binding Operational Directive (BOD) 22‑01 da CISA têm prazo para remediação até 24 de fevereiro de 2026, conforme comunicado citado nas matérias.
Limites do que se sabe
As matérias consultadas não apresentam detalhes públicos sobre payloads usados em ataques específicos, nem uma lista consolidada de IPs ou amostras de exploração. Também não há, até a publicação das fontes, descrição de impactos práticos como exfiltração confirmada de repositórios ou cadeias de build comprometidas.
Implicações para segurança de desenvolvimento
Além da correção técnica, equipes de DevSecOps devem auditar runs de CI/CD, revisar segredos acessíveis por pipelines e validar controles de egress para servidores GitLab. A exposição de pipelines ou de metadados de nuvem via SSRF pode transformar um servidor de desenvolvimento em vetor de acesso à infraestrutura de produção.
Resumo das ações imediatas
- Inventariar instâncias GitLab e confirmar versão/patch level.
- Aplicar patch ou desativar CI Lint API até mitigação.
- Auditar logs e monitorar comportamento outbound dos servidores GitLab.
Fontes: Cyber Security News (reportagem que resume o anúncio da CISA e as recomendações de remediação).