Компания GitLab выпустила экстренные обновления безопасности для версий Community Edition (CE) и Enterprise Edition (EE). Релиз направлен на устранение ряда опасных уязвимостей, наиболее критическая из которых позволяет обходить механизмы двухфакторной аутентификации (2FA). Своевременное обновление системы управления репозиториями является необходимым шагом для защиты корпоративных данных и предотвращения несанкционированного доступа.
Технические подробности выявленных угроз
Ключевым исправлением в данном патче стала ликвидация уязвимости CVE-2026-0723. Согласно техническому отчету, брешь позволяла злоумышленникам авторизоваться в системе без прохождения второго этапа проверки, если им был известен идентификатор (ID) учетной записи цели. Подобные сценарии создают высокие риски для организаций, использующих GitLab в качестве основного инструмента разработки.
Помимо проблем с аутентификацией, разработчики устранили две критические ошибки, которые могли быть использованы для проведения DoS-атак (отказ в обслуживании). Эксплуатация этих уязвимостей приводила к исчерпанию ресурсов сервера и полной остановке рабочих процессов команды.
Рекомендации для пользователей и статистика
Облачная версия сервиса GitLab.com уже получила необходимые исправления в автоматическом режиме. Однако администраторам частных (self-managed) инсталляций необходимо вручную обновить свои системы до следующих стабильных версий:
- 18.8.2
- 18.7.2
- 18.6.4
По данным мониторингового проекта Shadowserver, по состоянию на 21 января 2026 года в глобальной сети обнаружено около 6000 экземпляров GitLab, которые остаются потенциально уязвимыми. Это подчеркивает масштаб проблемы и необходимость оперативного вмешательства со стороны системных администраторов.
Пользователям частных развертываний настоятельно рекомендуется незамедлительно произвести обновление до актуальных версий для минимизации рисков безопасности.
Учитывая критический характер исправлений, задержка в обновлении может привести к компрометации исходного кода и интеллектуальной собственности компаний. Текущий инцидент в очередной раз подтверждает важность регулярного аудита безопасности в DevOps-средах и оперативного реагирования на уведомления вендоров о выходе патчей.