CISA將GitLab滿分漏洞列入已遭利用漏洞名單

核心要點

美國網路安全與基礎設施安全局（CISA）於 9 月 11 日將 GitLab 的滿分漏洞 CVE-2026-85706 列入已遭利用漏洞清單（KEV），並要求全體聯邦機構必須在 9 月 14 日前完成緊急修補。此漏洞在 GitLab 於 9 月 10 日發布的社群版與企業版更新中已被修補，屬於 CVSS（通用漏洞評分系統）最高 10 分的路徑遍歷（Path Traversal）缺口。

背景與技術細節

• 漏洞概述：CVE-2026-85706 為 GitLab 伺服器端的路徑遍歷漏洞，攻擊者可藉由精心構造的 URL 直接讀取或寫入系統敏感檔案，進一步取得系統控制權。
• 修補時程：GitLab 於 9 月 10 日同步釋出社群版與企業版安全更新，修補程式已涵蓋所有受影響的部署環境。
• 威脅情報：威脅情報公司 watchTowr 在漏洞公開後不到 24 小時即偵測到相關的漏洞探測流量，顯示攻擊者已開始主動掃描並嘗試利用此缺口。
• CISA 行動：CISA 於次日更新 KEV 清單，將 CVE-2026-85706 標記為「已遭利用」的高危漏洞，並以「緊急」等級要求聯邦機構在三天內完成修補，避免公共服務被攻擊者利用。

影響與應對

此漏洞的 CVSS 滿分 10 分代表其 機密性、完整性、可用性 三大屬性皆可能受到嚴重破壞。若未及時修補，可能導致：

1. 資料外洩：攻擊者可讀取儲存在 GitLab 內的源碼、憑證或其他機密檔案。

2. 服務中斷：惡意寫入或刪除關鍵檔案可能使 CI/CD 流程癱瘓，影響開發與部署。

3. 橫向擴散：取得系統權限後，攻擊者可進一步滲透同一網段的其他資源。

對策上，除立即套用 GitLab 官方提供的安全更新外，建議：

• 驗證修補狀態：使用資產管理工具確認所有 GitLab 節點皆已升級至最新版本。
• 加強監控：部署 Web 應用防火牆（WAF）與入侵偵測系統（IDS），針對異常路徑請求進行即時警示。
• 最小權限原則：限制 GitLab 服務帳號的檔案系統存取權限，降低被利用時的破壞面。

未來展望與讀者啟示

CISA 將已遭利用的高危漏洞列入 KEV，已成為美國政府資訊安全的「警戒燈號」。對企業與組織而言，快速偵測與即時修補 成為資安成熟度的關鍵指標。未來，隨著供應鏈攻擊與自動化滲透工具的普及，類似滿分漏洞的出現頻率可能上升。讀者應持續關注官方安全公告，並建立 漏洞管理流程，將修補時程納入風險評估與合規要求，才能在威脅快速演變的環境中保持韌性。