Publicado en

Alerta Crítica: CISA advierte sobre la explotación activa de una vulnerabilidad máxima en GitLab

•Publicado enVulnerabilidades

Urgencia en la comunidad DevSecOps: El fallo CVE-2026-85706 bajo ataque

La Agencia de Seguridad de Infraestructura y Ciberseguridad de Estados Unidos (CISA) ha emitido una advertencia urgente tras confirmar que actores malintencionados están explotando activamente una vulnerabilidad de severidad máxima en GitLab. Este fallo, identificado como CVE-2026-85706, pone en riesgo la integridad de miles de organizaciones que dependen de esta plataforma para su ciclo de desarrollo de software.

GitLab es una herramienta fundamental en el ecosistema empresarial, utilizada por más del 50% de las compañías Fortune 100. Debido a su papel central en el almacenamiento de código fuente y la automatización de despliegues, cualquier brecha en su seguridad representa una amenaza crítica para la cadena de suministro de software.

¿En qué consiste el fallo CVE-2026-85706?

Desde una perspectiva técnica, la vulnerabilidad se origina por una falta de cumplimiento de autenticación y un confinamiento de rutas inadecuado en la API de commits del repositorio. Esto se conoce como un ataque de Path Traversal (salto de directorio).

Lo que hace que este fallo sea especialmente peligroso es:

  • Acceso no autenticado: Los atacantes pueden explotar la vulnerabilidad sin necesidad de tener credenciales previas en el sistema.
  • Exfiltración de secretos: Permite leer archivos arbitrarios del servidor, lo que incluye credenciales, tokens de acceso, secretos de configuración y otra información sensible.
  • Ejecución remota: Con un solo requerimiento HTTP, un atacante puede comprometer la infraestructura del servidor afectado.

Evidencia de ataques en el mundo real

Aunque GitLab lanzó parches de seguridad recientemente, firmas de ciberseguridad como watchTowr ya han detectado escaneos masivos en internet buscando servidores vulnerables. Los atacantes están monitorizando activamente aquellas instancias que aún no han sido actualizadas para realizar peticiones HTTP POST maliciosas hacia las URIs de la API de GitLab.

Ante esta evidencia, CISA ha incluido formalmente esta vulnerabilidad en su Catálogo de Vulnerabilidades Explotadas Conocidas (KEV), lo que obliga a las agencias federales a parchear sus sistemas en un plazo máximo de tres días. Para el sector privado, esta es una señal inequívoca de que el riesgo es inminente y requiere acción inmediata.

Recomendaciones para las empresas

Desde Intedya, enfatizamos la importancia de mantener una postura proactiva en la gestión de vulnerabilidades. Si su organización utiliza GitLab (Community Edition o Enterprise Edition), se recomiendan las siguientes acciones:

  1. Actualización inmediata: Es imperativo migrar a las versiones 19.3.2, 19.2.6 o 19.1 (y superiores) donde el fallo ha sido corregido.
  2. Auditoría de logs: Revisar los registros del servidor en busca de peticiones sospechosas a /api/v4/projects/{id}/repository/commits/ que contengan parámetros file.path inusuales.
  3. Gestión de Secretos: Como medida de precaución, considere rotar tokens y claves de acceso que pudieran haber estado expuestas en servidores vulnerables antes de la actualización.

La ciberseguridad no es un estado estático, sino un proceso continuo de vigilancia. La rapidez en la respuesta ante vulnerabilidades críticas como esta es lo que diferencia a una empresa resiliente de una víctima de ciberataque.

Fuentes