GitLab 严重路径遍历漏洞被利用
先了解这件事
2026年9月11日，GitLab发布补丁修复CVE-2026-85706。该漏洞CVSS评分为10.0，影响18.7至19.3.1版本，允许未认证攻击者在存在公开项目的自托管实例中读取任意文件。截至2026年10月16日，该漏洞已被确认在互联网上实际利用，并收录至CISA KEV目录。攻击者可直接窃取部署令牌、CI变量及SSH密钥，进而破坏CI/CD流水线或横向渗透其他业务系统。官方指出仅打补丁不足以恢复安全，需立即轮换凭据。
AI 根据报道生成 · 3 小时前更新
报道时间线
沿着报道，了解事件的不同侧面。
- InfoQ 中文精选GitLab 高危漏洞被利用后，仅打补丁不足以恢复安全需立即轮换凭据
CVE-2026-85706 是一个 CVSS 评分为 10.0 的 GitLab 路径遍历漏洞，允许未认证攻击者在存在公开项目的自托管实例中读取任意文件，目前已被确认在互联网上实际利用并收录至 CISA KEV 目录。该漏洞影响 18.7 至 19.3.1 等多个版本，攻击者可直接窃取部署令牌、CI 变量及 SSH 密钥，进而破坏 CI/CD 流水线或横向渗透其他业务系统。 尽管 GitLab 已在 9 月 11 日发布补丁并建议升级至 19.3.2、19.2.6 或 19.1.8 等特定版本，但安全专家指出修补代码仅能阻止新的文件读取行为，无法撤销攻击者已获取的敏感凭据。运维人员必须检索日志中携带 file.path 参数的 HTTP POST 请求以识别攻击尝试，并强制轮换所有可能暴露的密钥，同时核查旧凭据有效期内构建任务拉取的软件包和镜像。 事实层面，该漏洞利用门槛极低且已发生大规模探测；推断层面，单纯依赖官方补丁会导致组织处于“带病运行”状态，因为攻击者手中的凭据仍有效；猜测层面，若未及时执行完整的凭据轮换与资产审计，后续可能引发针对关联系统的定向攻击。
本事件热度走势
当前热度 9·可比范围峰值 10（10月16日 10:00）·近 24 小时可比范围变化 –
趋势仅比较持续完整观测到的相同主体，范围可能小于当前热度统计。移动指针或点击图表查看每小时热度；键盘可用左右方向键切换。