GitLab爆 CVSS滿分遠端讀檔漏洞且遭利用 資安署急令公務機關與大專院校清查修補
發布時間:
數位發展部資通安全署日前發布重大訊息，熱門原始碼託管平台 GitLab出現重大安全性漏洞 CVE-2026-85706，嚴重程度評分達最高的 CVSS 10.0滿分，攻擊者在特定條件下未登入即可遠端讀取伺服器內部任意檔案，且公開後已遭實際利用。資安署已透過資安警訊與國家資安資訊分享與分析中心（N-ISAC），要求各公務機關及大專院校儘速清查內部 GitLab伺服器；雖然資安署公開新聞稿網頁目前查無獨立連結，但國家資通安全研究院已於9月22日發布對應的官方漏洞警訊。
該漏洞成因為程式碼儲存庫提交（repository commits）API之路徑限制不當且未強制身分驗證，由 HackerOne帳號 s3ntago回報，目前網路上已有公開的概念驗證（PoC）。GitLab原廠於9月10日釋出修補後，美國網路安全暨基礎設施安全局（CISA）隨即於9月11日將其列入已知遭利用漏洞清單（KEV），並要求聯邦機關在9月14日前完成修補；外媒 The Register亦引述資安業者 watchTowr指出，原廠釋出修補後數日內便觀察到針對該漏洞的網路探測行動。
根據 GitLab官方 CVE紀錄，受影響版本涵蓋 Community與 Enterprise版本的18.7至18.11.12之前、19.0至19.0.9之前、19.1至19.1.8之前、19.2至19.2.6之前以及19.3至19.3.2之前。值得注意的是，資安院9月22日警訊表格所列範圍較原廠官方狹窄，僅涵蓋18.7至19.1.8（不含）等三條規則，自建站若停留在18.11或19.0等版本，對照原廠紀錄仍在受影響之列，不可直接依簡要表格排除。此外，原廠同批更新尚包含 CVE-2026-87719漏洞，已登入之攻擊者可藉特製 GraphQL訂閱參數讀取 Advanced Search的執行個體設定與敏感憑證，該漏洞亦列於資安院同份警訊中。
資安署指出，GitLab常用於原始碼管理、開發、測試及部署，主機存有組態設定與存取憑證，遭任意讀檔恐演變成進一步系統入侵。目前 GitLab.com已修補完成，GitLab Dedicated用戶無須自行操作，但自建站的 Omnibus、原始碼安裝與 Helm部署均受影響且需更新至19.3.2、19.2.6或19.1.8等安全版本；資安署呼籲暴露於外網的自建站應優先處理，管理人員除儘速升級修補外，亦應檢視系統日誌與異常存取紀錄，若發現可疑活動須全面清查帳號與憑證。