CVE-2026-85706
GitLab ha corregido un problema en GitLab CE/EE que afecta a todas las versiones desde 18.7 anteriores a 19.1.8, 19.2 anteriores a 19.2.6 y 19.3 anteriores a 19.3.2 que, bajo ciertas condiciones, un usuario no autenticado podría haber leído archivos arbitrarios del servidor GitLab debido a un confinamiento de rutas inadecuado y a la falta de aplicación de la autenticación en la API de commits del repositorio.
Explotada activamente
- En el catálogo CISA de vulnerabilidades explotadas desde el 11 sept 2026
- Las agencias federales de EE. UU. deben corregirla antes del 14 sept 2026 (BOD 22-01)
- Atacada 1 día antes de que la vulnerabilidad se hiciera pública
- Confirmada por sensores, no solo por informes
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Fuente: CISA KEV · 27 oct 2026 26 oct 2026 25 oct 2026 23 oct 2026 22 oct 2026 20 oct 2026
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:NProductos afectados
| Fabricantes | Producto | Versiones |
|---|---|---|
| gitlab | gitlab | < 18.11.12 |
Artículos relacionados
GitLab corrige un fallo de CI/CD con CVSS 10,0 que permite ejecutar código en el servidor sin autenticación
GitLab corrige un fallo CI/CD con CVSS 10 que podría permitir código sin autenticación y otras fallas en repositorios y pipelines.
El FBI incauta siete dominios que daban soporte al escaneo y las operaciones de malware de Flax Typhoon
Una operación de las fuerzas del orden de Estados Unidos se ha saldado con la incautación de siete dominios que, según las acusaciones, daban soporte a
GitLab corrige una vulnerabilidad que permitía escapar del sandbox de AI Gateway y ejecutar comandos
GitLab corrigió una vulnerabilidad crítica que permitía escapar del sandbox de AI Gateway y ejecutar comandos. Los gateways autohospedados deben actualizarse.
Los ataques activos ponen en riesgo los switches Zyxel y los endpoints Windows protegidos por Veeam
CISA alerta de explotación activa en switches Zyxel GS1900 y Veeam Agent Windows: ejecución de comandos y escalada a SYSTEM. Parchea ya.
Un fallo de autenticación de la API de Cisco ISE abre una vía remota al acceso root
Cisco corrige CVE-2026-76460, fallo crítico en ISE con CVSS 10.0 explotado activamente que permite acceso root remoto sin autenticación.
Una falla crítica de ScreenConnect alimenta ataques similares a gusanos a través de sesiones remotas activas
Vulnerabilidad crítica CVE-2026-84869 en ScreenConnect permite ejecutar archivos sin autorización y propagarse entre sesiones. Actualiza a 26.6.5.9742.
Una vulnerabilidad de path traversal en GitLab entra en CISA KEV con un plazo de tres días para aplicar el parche
CVE-2026-85706 permite lectura de archivos en GitLab sin autenticación. CISA la incluye en KEV con límite 14 sept 2026. Actualiza a 19.1.8, 19.2.6 o 19.3.2.
Una vulnerabilidad crítica de GitLab para leer archivos se explota en menos de un día tras hacerse pública la corrección
CVE-2026-85706 permite leer archivos en GitLab sin autenticación. Explotada un día tras el parche, afecta a versiones 18.7-19.3. Actualiza ya.
This product uses the NVD API but is not endorsed or certified by the NVD.
La descripción técnica es una traducción nuestra del texto original de NVD, en inglés.