A GitLab anunciou a liberação de atualizações de segurança urgentes para suas edições Community (CE) e Enterprise (EE), abordando múltiplas vulnerabilidades de alta severidade que podem permitir ataques de negação de serviço (DoS) e injeção de código. As versões corrigidas são 18.10.3, 18.9.5 e 18.8.9, e a empresa recomenda fortemente que todos os administradores de sistemas auto-hospedados realizem o upgrade imediatamente para proteger suas instâncias contra exploração ativa.
Detalhes das vulnerabilidades de alta severidade
O lançamento de segurança resolve três bugs críticos que representam riscos significativos para ambientes GitLab. A primeira, identificada como CVE-2026-5173, possui pontuação CVSS de 8.5 e permite que um atacante autenticado execute comandos não intencionais no lado do servidor através de conexões WebSocket, devido a controles de acesso inadequados. Isso pode resultar em execução remota de código com privilégios elevados dentro do ambiente de desenvolvimento.
A segunda vulnerabilidade, CVE-2026-1092, com pontuação CVSS de 7.5, permite que um usuário não autenticado desencadeie um ataque de negação de serviço ao submeter dados JSON não validados à API de bloqueio de estado do Terraform. Isso pode interromper a funcionalidade crítica de gerenciamento de infraestrutura como código, afetando pipelines de CI/CD.
A terceira, CVE-2025-12664, também com pontuação CVSS de 7.5, permite que atacantes sem conta causem uma condição de DoS sobrecarregando o servidor com consultas GraphQL repetidas. A falta de limites adequados de taxa nessas consultas pode esgotar os recursos do servidor, tornando a plataforma inacessível para desenvolvedores legítimos.
Vulnerabilidades de nível médio e vazamento de dados
Além das questões graves, a GitLab abordou várias vulnerabilidades de nível médio que podem comprometer a segurança do usuário e a estabilidade do sistema. O CVE-2026-1516 (CVSS 5.7) permite que um usuário autenticado injete código malicioso nos relatórios de qualidade de código, vazando secretamente os endereços IP de outros usuários que visualizam o relatório. Isso representa um risco de privacidade e potencial vetor para ataques de engenharia social.
O CVE-2026-1403 (CVSS 6.5) envolve validação fraca de arquivos CSV, permitindo que usuários autenticados travem trabalhadores de fundo Sidekiq durante a importação de arquivos. O CVE-2026-4332 (CVSS 5.4) apresenta filtragem inadequada de entrada em painéis de análise, permitindo que atacantes executem código JavaScript prejudicial nos navegadores de outros usuários. O CVE-2026-1101 (CVSS 6.5) envolve validação ruim de consultas GraphQL, permitindo que um usuário autenticado cause DoS em toda a instância do GitLab.
Patches adicionais e controle de acesso
O update também inclui vários patches de menor severidade que resolvem vazamentos de dados e controles de acesso quebrados. O CVE-2026-2619 (CVSS 4.3) permite que usuários autenticados com privilégios de auditoria modifiquem dados de sinalização de vulnerabilidade em projetos privados. O CVE-2025-9484 (CVSS 4.3) é um bug de divulgação de informações que permite que usuários autenticados vejam endereços de e-mail de outros usuários através de consultas GraphQL específicas.
O CVE-2026-1752 (CVSS 4.3) envolve controles de acesso inadequados que permitem que desenvolvedores modifiquem configurações de ambiente protegidas. O CVE-2026-2104 (CVSS 4.3) mostra verificações de autorização insuficientes em exportações CSV, permitindo que usuários acessem problemas confidenciais atribuídos a outros. O CVE-2026-4916 (CVSS 2.7) é uma verificação de autorização ausente que permite que usuários com funções personalizadas rebaixem ou removam membros de grupos com privilégios mais altos.
Recomendações para equipes de DevSecOps
A GitLab enfatiza que todas as instalações auto-gerenciadas devem ser atualizadas para as versões 18.10.3, 18.9.5 ou 18.8.9 o mais rápido possível. Como essas atualizações não requerem alterações complexas de banco de dados, implantações multi-nó podem ser atualizadas sem tempo de inatividade do sistema. Usuários hospedados no GitLab.com ou usando GitLab Dedicated já estão seguros, pois a empresa aplicou os patches em seus servidores em nuvem.
Para organizações que gerenciam suas próprias instâncias, é crucial verificar a integridade dos backups antes do upgrade e testar as atualizações em um ambiente de staging. A monitorização de logs de acesso e tentativas de falha de autenticação deve ser intensificada nas próximas 48 horas para detectar qualquer tentativa de exploração das vulnerabilidades corrigidas.
Implicações para a cadeia de suprimentos de software
Este incidente destaca a importância de manter ferramentas de desenvolvimento atualizadas, pois elas são a base da cadeia de suprimentos de software. Uma instância comprometida do GitLab pode permitir que atacantes injetem código malicioso em repositórios, comprometendo todas as aplicações que dependem desses códigos. A adoção de políticas de atualização automatizada e a verificação de assinaturas de pacotes são medidas defensivas essenciais para mitigar esses riscos.
O que os CISOs devem fazer agora
1. Priorizar o upgrade das instâncias auto-hospedadas para as versões corrigidas. 2. Revisar os logs de acesso para identificar tentativas de exploração das vulnerabilidades CVE-2026-5173 e CVE-2026-1092. 3. Implementar limites de taxa mais rigorosos para consultas GraphQL e APIs de estado do Terraform. 4. Auditar permissões de usuários com privilégios de auditoria e desenvolvedor. 5. Notificar as equipes de desenvolvimento sobre a necessidade de verificar a integridade dos repositórios após o upgrade.