O AGENTICO
GitLab corrige falha crítica que permite exclusão de projetos sem autenticação
4 fontesdesde 17 de agosto de 202611 artigos
O GitLab lançou um patch de emergência em 17 de agosto de 2026 para corrigir uma vulnerabilidade crítica (CVE-2026-19478, CVSS 9.4) que permite que um atacante não autenticado modifique ou exclua projetos públicos e dados de usuário via diretiva GraphQL. A exploração ativa da falha já foi observada pela watchTowr em sua rede honeypot, e os patches não cobrem as versões 18.2 a 18.10. A empresa recomenda que usuários de instalações auto-gerenciadas atualizem urgentemente para as versões corrigidas.
Resumo
O relatório da vulnerabilidade foi feito por hiimguardian via HackerOne.
A descoberta via recompensa por bugs demonstra a colaboração de pesquisadores de segurança e a importância da divulgação responsável.
O GitLab lançou um patch de emergência em 17 de agosto de 2026 para corrigir a vulnerabilidade crítica CVE-2026-19478 (CVSS 9.4), que permite a um atacante não autenticado modificar ou excluir projetos públicos e dados de usuário via diretiva GraphQL.
O patch de emergência do GitLab aborda uma vulnerabilidade crítica que pode ser explorada remotamente sem autenticação, afetando a integridade de dados em projetos públicos.
A vulnerabilidade CVE-2026-19478 está sob exploração ativa, e a watchTowr conseguiu reproduzi-la em minutos e observou exploração em sua rede honeypot.
A exploração ativa da falha crítica do GitLab foi confirmada, indicando que os atacantes estão agindo rapidamente após a divulgação, exigindo ação imediata dos administradores.
Os patches do GitLab para a CVE-2026-19478 não cobrem as versões 18.2 a 18.10, que estão dentro do intervalo afetado, forçando usuários dessas versões a atualizarem para uma versão corrigida.
Usuários de versões mais antigas do GitLab não receberão correção para a falha crítica, precisando migrar para uma versão suportada para se protegerem.
O pesquisador hiimguardian reportou a vulnerabilidade CVE-2026-19478 ao GitLab através do programa de recompensas por bugs HackerOne.
A falha crítica foi descoberta e reportada por um pesquisador de segurança via programa de bug bounty, destacando a importância da comunidade de segurança.
A mesma atualização do GitLab que corrigiu a CVE-2026-19478 também corrigiu uma segunda vulnerabilidade, CVE-2026-19650 (CVSS 7.1), relacionada a CSRF em consultas multiplex do GraphQL.
A atualização de emergência também abordou uma vulnerabilidade adicional de CSRF no GraphQL, que embora menos severa, também precisava de correção.
A Cycode divulgou uma cadeia de falhas no AIT-GUI, console do NASA/JPL AMMOS Instrument Toolkit, que permite a um atacante não autenticado emitir comandos arbitrários para o barramento de comando de espaçonaves e instrumentos.
Uma vulnerabilidade crítica no software de controle de solo da NASA pode permitir que hackers assumam o controle de espaçonaves, destacando riscos em infraestrutura espacial.
A Microsoft alertou sobre uma vulnerabilidade de execução remota de código no Entra ID (CVE-2026-69836, CVSS 10.0) que já foi explorada, mas afirmou que nenhuma ação do cliente é necessária.
A Microsoft confirmou exploração ativa de uma falha de severidade máxima em seu serviço de identidade, mas garante que o serviço já foi mitigado e não requer ação dos clientes.
A Cisco lançou atualizações de segurança para corrigir nove vulnerabilidades em Crosswork e Secure Workload, incluindo cinco com pontuação CVSS 10.0.
A Cisco abordou múltiplas vulnerabilidades críticas em seus produtos de infraestrutura, incluindo falhas de injeção de SQL e autenticação, que exigem atualização imediata.
Citações
“GitLab has released security updates to address a critical vulnerability impacting its Community Edition (CE) and Enterprise Edition (EE) software that, under certain conditions, could allow an unauthenticated attacker to remotely modify or delete public projects and user data.”
O patch de emergência do GitLab aborda uma vulnerabilidade crítica que pode ser explorada remotamente sem autenticação, afetando a integridade de dados em projetos públicos.
— GitLab, Empresa de software · ver em The Hacker News ↗
“Preemptive exposure management firm watchTowr told The Hacker News that it was able to reproduce the vulnerability within minutes of its disclosure, adding that it observed in-the-wild exploitation against its honeypot network.”
A exploração ativa da falha crítica do GitLab foi confirmada, indicando que os atacantes estão agindo rapidamente após a divulgação, exigindo ação imediata dos administradores.
— watchTowr, Empresa de gerenciamento de exposição · ver em The Hacker News ↗
“The fixes do not extend to the 18.2 through 18.10 branches, which fall inside the affected range.”
Usuários de versões mais antigas do GitLab não receberão correção para a falha crítica, precisando migrar para uma versão suportada para se protegerem.
— GitLab, Empresa de software · ver em The Hacker News ↗
“Security researchers at Cycode have disclosed a chain of flaws in AIT-GUI, the browser-based operator console for NASA/JPL's open-source AMMOS Instrument Toolkit, that allow an unauthenticated attacker to issue arbitrary commands to the software's spacecraft and instrument command bus.”
Uma vulnerabilidade crítica no software de controle de solo da NASA pode permitir que hackers assumam o controle de espaçonaves, destacando riscos em infraestrutura espacial.
— Cycode, Empresa de segurança · ver em The Hacker News ↗
“Microsoft on Thursday warned of a maximum-severity security flaw in Entra ID that it said has been exploited in the wild, but noted that no customer action is required.”
A Microsoft confirmou exploração ativa de uma falha de severidade máxima em seu serviço de identidade, mas garante que o serviço já foi mitigado e não requer ação dos clientes.
— Microsoft, Empresa de tecnologia · ver em The Hacker News ↗
“Cisco has published another round of security updates for Crosswork platforms and Secure Workload Software as part of a continued comprehensive internal security review.”
A Cisco abordou múltiplas vulnerabilidades críticas em seus produtos de infraestrutura, incluindo falhas de injeção de SQL e autenticação, que exigem atualização imediata.
— Cisco, Empresa de tecnologia · ver em The Hacker News ↗
Todo dia, só o que dois veículos independentes confirmaram — no seu feed.