GitLab vá»i CVE-2026-19478 bá» khai thác chủ Äá»ng sau khi công bá»
"GitLab disclosed CVE-2026-19478, a critical code injection vulnerability with a CVSS score of 9.4 that could let an unauthenticated attacker modify or delete publicly accessible projects and alter repository data under certain conditions. GitLab released fixes in CE/EE versions 19.2.4, 19.1.6, 19.0.8, and 18.11.11, and researchers reported active exploitation within days of disclosure via GraphQL-based attacks."
Ảnh hưởng ở mức rất nghiêm trọng do có thể khai thác không cần xác thực và tác động trực tiếp đến dữ liệu dự án/repository. Việc đã ghi nhận khai thác trong thực tế làm tăng rủi ro cho các hệ thống chưa vá.
Có thể gây gián đoạn phát triển, mất toàn vẹn mã nguồn và ảnh hưởng quy trình CI/CD, merge, phát hành. Các tổ chức dùng GitLab internet-facing cần ưu tiên vá để giảm nguy cơ gián đoạn vận hành.
GitLab Äã công bá» CVE-2026-19478, má»t lá»i code injection nghiêm trá»ng vá»i CVSS 9.4. Trong má»t sá» Äiá»u kiá»n, kẻ tán công không cần xác thá»±c có thá» sá»a Äá»i hoặc xóa các dá»± án GitLab công khai, Äá»ng thá»i thay Äá»i dữ liá»u kho lÆ°u trữ. Theo ghi nháºn từ watchTowr, lá»i nà y Äã bá» khai thác thá»±c tế chá» trong và i ngà y sau khi công bá», thông qua các tấn công dá»±a trên GraphQL.
Các phiên bản bỠảnh hÆ°á»ng gá»m GitLab CE/EE trÆ°á»c 19.2.4, 19.1.6, 19.0.8 và 18.11.11. GitLab Äã phát hà nh bản vẫn cho các nhánh nà y. Ngoà i viá»c thay Äá»i hoặc xóa project, nguy cÆ¡ còn bao gá»m xóa toà n bá» repository, giả mạo lá»ch sá» merge và chặn maintainer.
Khuyến nghá»: ÄÆ¡n vá» Äang váºn hà nh GitLab self-hosted phải nâng cấp ngay lên bản Äã vá». Nếu chÆ°a thá» vạn hà nh vá», nên hạn chế truy cáºp không xác thá»±c tá»i /api/graphql hoặc tạm thá»i gỡ bá» quyá»n truy cáºp repository công khai. Äá»ng thá»i, cần rá»c web logs Äá» tìm các yêu cầu chứa @gl_introduced và dấu hiá»u thám dò khai thác.