Μια κρίσιμη ευπάθεια στο GitLab επιτρέπει, υπό συγκεκριμένες συνθήκες, σε επιτιθέμενους χωρίς έλεγχο ταυτότητας να τροποποιήσουν ή να διαγράψουν δημόσια έργα και δεδομένα χρηστών. Η CVE-2026-19478 αφορά τη λειτουργία GraphQL και έλαβε βαθμολογία CVSS 9,4. Η επίμαχη GraphQL directive βρίσκεται στο επίκεντρο της ανάλυσης.
Το πρόβλημα εντοπίζεται σε μια GraphQL directive, δηλαδή σε μηχανισμό που επηρεάζει τον τρόπο με τον οποίο το GitLab επεξεργάζεται ερωτήματα και εντολές. Η εκμετάλλευση γίνεται μέσω δικτύου, δεν απαιτεί λογαριασμό ή αλληλεπίδραση χρήστη και μπορεί να επηρεάσει τη διαθεσιμότητα και την ακεραιότητα δημόσιου περιεχομένου.
Δείτε επίσης: PoC για RCE σε εγκαταστάσεις GitLab
Τι γνωρίζουμε για την CVE-2026-19478
Η εταιρεία GitLab περιγράφει την CVE-2026-19478 ως ζήτημα που μπορεί, υπό συγκεκριμένες προϋποθέσεις, να δώσει σε χρήστη χωρίς έλεγχο ταυτότητας τη δυνατότητα να τροποποιήσει ή να διαγράψει απομακρυσμένα δημόσια έργα και δεδομένα χρηστών. Η GraphQL directive αποτελεί το τεχνικό σημείο της επίθεσης, χωρίς όμως να έχει δημοσιοποιηθεί ακόμη η ακριβής ονομασία της.
Η ευπάθεια καταγράφεται ως CWE-94, κατηγορία που αφορά εσφαλμένο έλεγχο στη δημιουργία κώδικα. Η επίσημη αξιολόγηση της GitLab δίνει CVSS 9,4 με χαμηλή πολυπλοκότητα επίθεσης, μηδενικές απαιτήσεις προνομίων και απουσία αλληλεπίδρασης από το θύμα. Μέχρι τη σύνταξη του άρθρου δεν έχει αναφερθεί δημόσια εκμετάλλευση.
Το διάνυσμα CVSS αποτυπώνει έναν κίνδυνο που δεν εξαρτάται από κλεμμένα διαπιστευτήρια ή από ενέργεια του χρήστη. Η επίθεση μπορεί να ξεκινήσει απομακρυσμένα, ενώ οι πιθανές επιπτώσεις αφορούν τόσο την ακεραιότητα των έργων όσο και τη διαθεσιμότητα των δεδομένων που φιλοξενούνται σε αυτά.
Η GitLab δεν έχει δημοσιεύσει ακόμη όλες τις τεχνικές λεπτομέρειες. Η εταιρεία αναφέρει ότι τα ζητήματα θα γίνουν διαθέσιμα στο σύστημα αναφορών του GitLab μετά το προβλεπόμενο διάστημα αποκάλυψης, γεγονός που δίνει στους διαχειριστές χρόνο να εφαρμόσουν τις διορθώσεις χωρίς να έχουν στη διάθεσή τους πλήρη δημόσιο κώδικα εκμετάλλευσης.
Σύμφωνα με την επίσημη ανακοίνωση ασφαλείας της GitLab, επηρεάζονται οι εκδόσεις CE και EE από τη σειρά 18.2 έως πριν από την 18.11.11, καθώς και οι σειρές 19.0 πριν από την 19.0.8, 19.1 πριν από την 19.1.6 και 19.2 πριν από την 19.2.4. Η καταγραφή στο NVD για την CVE-2026-19478 επιβεβαιώνει το ίδιο εύρος εκδόσεων.
Ποιοι χρειάζεται να ενεργήσουν άμεσα
Η GitLab διέθεσε τις διορθώσεις στις εκδόσεις 18.11.11, 19.0.8, 19.1.6 και 19.2.4. Η επιλογή της σωστής έκδοσης εξαρτάται από τη σειρά που χρησιμοποιεί κάθε οργανισμός και όχι μόνο από τον αριθμό της τελευταίας διαθέσιμης έκδοσης. Οι διαχειριστές εγκαταστάσεων CE και EE πρέπει να ελέγξουν τη σειρά έκδοσης που χρησιμοποιούν και να προχωρήσουν στην αντίστοιχη αναβάθμιση το συντομότερο δυνατό. Οι συγκεκριμένες εκδόσεις δεν περιλαμβάνουν νέες μετακινήσεις βάσης δεδομένων και, σε εγκαταστάσεις πολλών κόμβων, δεν αναμένεται να απαιτήσουν διακοπή λειτουργίας.
Η οδηγία αφορά κυρίως τις εγκαταστάσεις που διαχειρίζονται οι ίδιοι οι οργανισμοί. Το GitLab.com και το GitLab Dedicated λειτουργούσαν ήδη με διορθωμένη έκδοση, επομένως οι πελάτες αυτών των υπηρεσιών δεν χρειάζεται να κάνουν κάποια ενέργεια για τη συγκεκριμένη CVE. Παρ’ όλα αυτά, η επαλήθευση των ρυθμίσεων και των δικαιωμάτων παραμένει καλή πρακτική.
Πριν από την αλλαγή, οι ομάδες μπορούν να ελέγξουν αν υπάρχουν δημόσια έργα που περιέχουν ευαίσθητα δεδομένα, να επιβεβαιώσουν ποιοι λογαριασμοί έχουν δικαιώματα διαχείρισης και να διατηρήσουν αρχείο της τρέχουσας κατάστασης. Έτσι, τυχόν απρόσμενη μεταβολή μετά την αναβάθμιση θα είναι ευκολότερο να εντοπιστεί.
Δείτε επίσης: Η GitLab διορθώνει ευπάθειες σε CE και EE
GraphQL directive και πρακτικά μέτρα προστασίας
Η τεχνική ομάδα του SecNews συνιστά στους διαχειριστές να καταγράψουν την τρέχουσα έκδοση, να ελέγξουν αν το σύστημα βρίσκεται σε μία από τις επηρεαζόμενες σειρές και να προγραμματίσουν την αναβάθμιση με βάση τις διαδικασίες αλλαγών του οργανισμού. Η διατήρηση αντιγράφων ασφαλείας και η δοκιμή επαναφοράς είναι απαραίτητες πριν από κάθε κρίσιμη αλλαγή.
Μέχρι να ολοκληρωθεί η εγκατάσταση της διόρθωσης, οι ομάδες ασφαλείας μπορούν να περιορίσουν την έκθεση των διεπαφών διαχείρισης, να παρακολουθούν ασυνήθιστες μεταβολές σε δημόσια έργα και να ελέγχουν τα αρχεία καταγραφής για μη αναμενόμενες GraphQL εντολές. Δεν έχει δημοσιευθεί επίσημη παράκαμψη που να αντικαθιστά την αναβάθμιση.
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
Δείτε επίσης: Εκτεθειμένο κλειδί ανοίγει αποθετήρια
Η CVE-2026-19478 δείχνει γιατί οι εγκαταστάσεις GitLab χρειάζονται τακτικό έλεγχο εκδόσεων και γρήγορη εφαρμογή των κρίσιμων ενημερώσεων. Η απουσία απαίτησης σύνδεσης αυξάνει τον κίνδυνο για εκτεθειμένα συστήματα, ενώ η έγκαιρη μετάβαση σε διορθωμένη έκδοση περιορίζει το περιθώριο κακόβουλης εκμετάλλευσης.
