Descoberta e escopo da atualização
O projeto GitLab lançou atualizações de segurança críticas para abordar 13 vulnerabilidades que poderiam potencialmente expor dados sensíveis, manipular pipelines de CI/CD e interromper a disponibilidade do servidor em implantações de Community Edition (CE) e Enterprise Edition (EE). As versões de patch mais recentes, 19.2.1, 19.1.3 e 19.0.5, foram lançadas em 29 de julho de 2026.
Essas atualizações incluem correções para problemas de alta, média e baixa severidade. O GitLab insta fortemente todos os usuários auto-gerenciados a fazerem o upgrade imediatamente, pois o GitLab.com já está executando as versões corrigidas, e os clientes GitLab Dedicated não precisam tomar nenhuma ação.
Entre as vulnerabilidades mais críticas está o CVE-2026-6267, que tem um nível de severidade alto e uma pontuação CVSS de 8.5. Essa falha afeta o GitLab Workhorse e poderia permitir que usuários autenticados com acesso de nível de desenvolvedor recuperassem informações sensíveis em solicitações internas devido ao controle de acesso inadequado.
O que mudou agora
Outro problema de alto risco, o CVE-2026-12436, permite que atacantes explorem uma falha de atribuição em massa na API de Agendamento de Pipeline para modificar configurações de CI/CD pertencentes a outros usuários, potencialmente levando a execuções de pipeline não autorizadas. O GitLab também abordou o CVE-2026-15975, uma vulnerabilidade de negação de serviço que atacantes não autenticados podem explorar.
Ao abusar do controle de recursos insuficiente em discussões de merge request, os atacantes podem travar ou degradar significativamente o desempenho do servidor, afetando a disponibilidade em ambientes de produção. Várias vulnerabilidades de severidade média impactam mecanismos de autorização e controle de acesso.
Vetor e exploração
Essas incluem autorização inadequada na funcionalidade de importação de projeto, acesso não autorizado a relatórios de teste de pipeline e exposição de títulos de issue confidenciais através de metadados de merge request. Além disso, uma condição de corrida nas regras de aprovação de merge request poderia permitir que código fosse mesclado em branches protegidas sem as aprovações necessárias, representando um risco para a integridade do software.
A atualização também corrige uma questão de script entre sites (XSS) que poderia permitir a execução de JavaScript malicioso através de URLs manipuladas, bem como uma vulnerabilidade de injeção de prompt no GitLab Duo Code Review, destacando riscos emergentes em ferramentas de desenvolvimento assistidas por IA.
Evidências e limites
Outro problema no Duo Workflows poderia permitir a contornagem de controles de governança devido à geração incorreta de tokens. Um exemplo de cenário de ataque potencial envolve um desenvolvedor de baixa privilégio explorando uma falha na API de Agendamento de Pipeline para modificar trabalhos agendados em outro projeto, injetando scripts maliciosos no pipeline de CI/CD.
Isso poderia levar a comprometimento da cadeia de suprimentos, implantações não autorizadas ou exfiltração de dados sem detecção imediata. O GitLab observou que todas as vulnerabilidades serão divulgadas publicamente 90 dias após o lançamento dos patches, em conformidade com as práticas de divulgação responsável.
Impacto e alcance
A empresa enfatizou que manter as instalações atualizadas é crítico para proteger repositórios de código sensíveis e fluxos de trabalho de desenvolvimento. A atualização inclui migrações de banco de dados, que podem causar tempo de inatividade para implantações de nó único. No entanto, ambientes de vários nós podem aplicar atualizações usando procedimentos de upgrade sem tempo de inatividade.
As equipes de segurança são aconselhadas a priorizar o patching, revisar controles de acesso e auditar configurações de CI/CD para mitigar o risco de exploração associado a essas vulnerabilidades.
Medidas de mitigação recomendadas
Administradores devem atualizar imediatamente, testar dependências de produção e aposentar versões não suportadas do Node.js, pois permanecem vulneráveis quando falhas de segurança são divulgadas. É crucial revisar as permissões de usuário e garantir que apenas usuários autorizados possam modificar configurações de pipeline.
Implementar verificações de segurança automatizadas nos pipelines de CI/CD pode ajudar a detectar tentativas de manipulação de configuração. Monitorar logs de acesso e auditoria para atividades suspeitas de usuários com privilégios elevados é essencial.
Perguntas frequentes
Quais versões são afetadas? As versões 19.2.x, 19.1.x e 19.0.x do GitLab são afetadas. Usuários do GitLab.com já estão protegidos.
É necessário reiniciar o servidor? Depende da configuração. Ambientes de nó único podem exigir reinicialização devido às migrações de banco de dados.
O que os CISOs devem fazer imediatamente
Garantir que todos os ambientes GitLab auto-gerenciados sejam atualizados para as versões mais recentes. Revisar políticas de acesso e garantir que o princípio do menor privilégio seja aplicado a todos os usuários do sistema.