CVE-2026-85706 是一个严重的 GitLab 路径遍历漏洞，该漏洞已不再只是理论风险，确认存在实际利用行为。漏洞影响自托管版 GitLab CE/EE，可让未认证的远程攻击者读取 GitLab 服务器上的任意文件。
该漏洞影响的 GitLab CE/EE 版本范围：18.7 至 19.1.7、19.2 至 19.2.5、19.3 至 19.3.1，可导致：
在特定条件下，由于仓库提交接口存在路径限制不当、缺少身份校验，未认证用户可读取 GitLab 服务器上的任意文件。
该漏洞 CVSS 评分为 10.0，属于最高危级别，攻击者可利用它窃取密钥与配置信息，借此进一步入侵系统、破坏 CI/CD 流水线，还可能访问 GitLab 能够连通的其他业务系统。更严重的是，只要 GitLab 实例中至少存在一个公开项目即可发起漏洞利用。
该漏洞由 Mohamed Abdelaiz 上报，GitLab 在 9月11日 迅速发布补丁。安全公司 watchTowr 表示，漏洞披露短短数小时内，攻击者就已经在互联网上开展探测行为。随后，美国网络安全与基础设施安全局（CISA）将该漏洞收录至已知被利用漏洞（KEV）目录。
除了给所有对外暴露的自托管 GitLab 实例打补丁外，watchTowr 还给出如下建议：
运维防护人员还应当检索日志，查找访问
/api/v4/projects/{id}/repository/commits/且携带file.path参数的 HTTP POST 请求，以此识别潜在的漏洞攻击尝试。
网络安全高管 Christopher Houser 在评论该漏洞披露事件时警告说，打补丁只是补救工作的一部分：
打补丁只能阻止新的文件读取行为，但无法撤销攻击者已经窃取的部署令牌、CI 变量以及 SSH 密钥。需要轮换这些凭据，同时核查在旧凭据仍有效期间构建任务拉取过哪些软件包和镜像。
首席信息安全官 Parker Brisette 进一步阐述了该漏洞带来的风险，指出漏洞利用门槛极低：
在 GitLab 服务器上，可被读取的任意文件包括 CI/CD 变量、运行器令牌以及日志中记录的敏感内容。watchTowr 的 Jake Knott 直白说明了前置条件：实例只要存在一个公开项目，之后的攻击无需任何身份认证。
Reddit 用户 GuffariBranderr8 强调了采取额外安全措施的重要性：
如果敏感配置或 CI/CD 凭据遭到泄露，攻击者有可能横向渗透到其他系统。因此除打补丁外，限制公网暴露范围、轮换已泄露密钥都必须纳入应急处置流程。
要修补受影响的系统，自托管的 GitLab 实例应升级到 19.3.2、19.2.6 或 19.1.8 版本（视情况而定。在初始补丁发布两周后，GitLab 将修复代码向后移植到 GitLab 社区版（CE）和企业版（EE）的 19.0.9 和 18.11.12 版本，尽管这两个版本均已停止支持。
查看英文原文：https://www.infoq.com/news/2026/10/gitlab-critical-vulnerabilities/