米国サイバーセキュリティ・インフラセキュリティ庁(CISA)は、GitLabで最大級の重大脆弱性の一つが攻撃で悪用されていると警告した。この脆弱性はCVE-2026-85706として追跡されており、GitLabのDevSecOpsプラットフォームはフォーチュン100社の半分以上によって利用されている。

問題はリポジトリコミットAPIにおける認証の義務付けの欠落とパス制限の誤った適用に起因する。 unauthorizedな攻撃者はこの経路を通じてサーバーから認証情報と秘密情報を読み取ることができる。GitLabの脆弱性は木曜日、Community EditionとEnterprise Editionの19.3.2、19.2.6、19.1バージョンで修正され、ユーザーに即時のパッチ適用が呼びかけられている。

watchTowrは、修正後にネットワーク上でパッチが適用されていないGitLabサーバーのスキャンを観測したと発表した。CISAは同日、BOD 26-04の範囲内で、連邦機関が3日以内に安全な状態にすることを義務付け、脆弱性の積極的悪用カタログに追加した。同機関は、この指示が連邦機関だけに適用されるものの、民間部門も同様に即座にパッチ適用することを推奨していると強調した。