O AGENTICO
GitLab
empresa · 10 menções
GitHubO que as fontes disseram sobre GitLab
Fontes reportaram que o GitLab lançou patches de emergência para vulnerabilidades críticas, incluindo a CVE-2026-19478 (CVSS 9.4), que permite modificação ou exclusão de projetos e dados via GraphQL, e a CVE-2026-19650 (CSVR 7.1); porém, os patches não cobrem as versões 18.2 a 18.10, forçando usuários a atualizar para uma versão corrigida. Também foram divulgadas correções para falhas de gravidade máxima (CVSS 10.0) na API de commits e em expressões regulares de CI/CD, além de uma vulnerabilidade crítica no AI Gateway (CVE-2026-90970, CVSS 9.9), com recomendação de atualização imediata para quem hospeda o próprio gateway. Por fim, o Codex passou a incluir um fluxo de revisão de código que analisa merge requests do GitLab.
Citações
“The fixes do not extend to the 18.2 through 18.10 branches, which fall inside the affected range.”
Usuários de versões mais antigas do GitLab não receberão correção para a falha crítica, precisando migrar para uma versão suportada para se protegerem.
Empresa de software · ver em The Hacker News ↗
Menções
As versões afetadas são 19.2 antes de 19.2.8, 19.3 antes de 19.3.5 e 19.4 antes de 19.4.2; os patches estão disponíveis nessas versões corrigidas.
Os administradores precisam atualizar rapidamente para essas versões para se protegerem da exploração.
O GitLab lançou patches para uma vulnerabilidade de severidade máxima (CVSS 10.0) que permite que usuários não autenticados executem código arbitrário no servidor via expressões regulares em configurações de CI/CD.
A falha é crítica porque permite que um atacante controle o servidor sem precisar de credenciais.
A GitLab recomenda fortemente que clientes que hospedam seu próprio gateway atualizem imediatamente, pois o advisory não indica se a falha foi explorada em ataques.
A ausência de confirmação de exploração não elimina o risco; a atualização é a única mitigação oficial.
A GitLab divulgou em 2 de outubro uma vulnerabilidade crítica no AI Gateway, registrada como CVE-2026-90970, com pontuação CVSS de 9.9.
O alerta com severidade máxima mobiliza administradores de servidores auto-hospedados a aplicarem patches urgentemente.
A exploração requer apenas uma condição: pelo menos um projeto público deve existir na instância GitLab.
Isso amplia o alcance da ameaça, pois muitos casos públicos podem ser explorados sem interação com usuários autenticados.
Todo dia, só o que dois veículos independentes confirmaram — no seu feed.