Критическую уязвимость GitLab начали использовать через несколько дней после патча

CVE-2026-19478 получила 9,4 из 10 и работает без авторизации. Атакующему достаточно достучаться до GraphQL API уязвимой собственной установки GitLab.
Официально ошибка позволяет менять и удалять публичные проекты. Исследователи watchTowr копнули глубже и получили варианты повеселее: удалить репозиторий целиком, заблокировать сопровождающего проекта и даже подделать запись о merge так, будто нужный фикс уже попал в код, хотя его там нет.

После публикации патча автоматизированная система watchTowr восстановила способ эксплуатации за считаные минуты. Через несколько дней похожие атаки уже начали прилетать в их сеть приманок.

Публичных данных о массовых успешных взломах пока нет.

Исправленные версии: 18.11.11, 19.0.8, 19.1.6 и 19.2.4. GitLab.com и GitLab Dedicated уже пропатчены.
Если сервер какое-то время торчал наружу на старой версии, исследователи советуют поискать в веб-логах запросы с @gl_introduced.

А еще занятный показатель 2026 года: от опубликованного патча до воспроизводимого эксплойта теперь иногда проходит не неделя и даже не день, а несколько минут.

https://anonhaven.com/news/kriticheskuyu-uyazvimost-gitlab-nachali-ispolzovat-cherez-dva-dnya/

@Anonhaven | anonhaven.com