Der Fehler mit der Kennung CVE-2026-85706 erlaubt laut WatchTowr das Auslesen beliebiger Dateien mit einer einzigen HTTP-Anfrage. „WatchTowr Intel beobachtet bereits Sondierungsversuche in freier Wildbahn für die jüngste kritische GitLab-Path-Traversal-Schwachstelle CVE-2026-85706, die es Angreifern erlaubt, mit einer einzigen HTTP-Anfrage beliebige Dateien zu lesen“, teilte das Unternehmen mit. Eine breit angelegte Ausnutzungswelle dürfte nach Einschätzung der Firma kurzfristig folgen.
Für die Suche nach Angriffsspuren nennt WatchTowr einen konkreten Ansatzpunkt: Verteidiger sollten ihre Protokolldateien nach HTTP-POST-Anfragen an URIs des Musters „/api/v4/projects/{id}/repository/commits/“ durchsuchen, die den Parameter „file.path“ enthalten.
Betroffen sind Community Edition und Enterprise Edition gleichermaßen: alle Versionen ab 18.7 vor 19.1.8, ab 19.2 vor 19.2.6 und ab 19.3 vor 19.3.2. Die Lücke lässt sich ohne Authentifizierung ausnutzen, was den maximalen CVSS-Wert von 10 erklärt.
Das Update schließt jedoch weit mehr als nur diese eine Schwachstelle. Insgesamt beheben die Versionen 19.1.8, 19.2.6 und 19.3.2 weitere 17 Sicherheitsprobleme. Darunter befindet sich mit CVE-2026-87719 eine zweite kritische Lücke mit einem CVSS-Wert von 9.9: ein Fehler bei der unsicheren Deserialisierung im GraphQL-Subscription-Serializer. Angreifer könnten darüber auf „Konfigurationen der Advanced-Search-Instanz und sensible Zugangsdaten“ zugreifen.
Hinzu kommen sechs als hoch eingestufte Schwachstellen. Sie ermöglichen je nach Fall die Ausführung von Schadcode aus der Ferne, den Zugriff auf geschützte CI/CD-Variablen, Cross-Site-Scripting-Angriffe sowie das Auslösen von Denial-of-Service-Zuständen.
Da die Angriffsversuche bereits laufen und GitLab-Server typischerweise Quellcode, Build-Pipelines und Zugangsdaten bündeln, drängt WatchTowr auf ein schnelles Einspielen der Updates — insbesondere bei selbst gehosteten Instanzen, die nicht automatisch durch den Hersteller aktualisiert werden.