CISA suma a KEV falla crítica CVSS 10 en GitLab

La vulnerabilidad de path traversal (CVE-2026-85706) en GitLab CE/EE permite lectura arbitraria de archivos vía la API de commits. Dos fuentes primarias ya reportan sondeos activos tras la divulgación pública.

Qué pasó

CISA sumó CVE-2026-85706 a su catálogo KEV (Known Exploited Vulnerabilities), lo que bajo su definición implica evidencia de explotación activa en el mundo real, no solo prueba de concepto. La vulnerabilidad afecta a GitLab Community Edition y Enterprise Edition y corresponde a un path traversal.

Según el título de la nota de investigación de CSA Labs ("GitLab CVSS 10 Commits-API Flaw Under CISA Mandate"), el punto de entrada estaría en la API de commits de GitLab, lo que sugiere que una solicitud manipulada contra ese endpoint permite leer archivos fuera del directorio esperado del repositorio. The Hacker News reporta además "sondeos in-the-wild" (in-the-wild probes) tras la divulgación pública de la falla.

La alerta de CISA no publica en su cuerpo las versiones específicas afectadas ni corregidas de GitLab, así que no las inventamos aquí: lo correcto es verificar el advisory oficial de GitLab (GitLab Security Release) para confirmar el rango exacto de versiones vulnerables y la versión que corrige el problema.

CISA vincula esta adición a la BOD 26-04, que fija obligaciones de remediación priorizada por riesgo para agencias del Ejecutivo Federal de EE.UU. sobre activos expuestos públicamente que otorgan control total del activo. No citamos plazos específicos porque el texto de la alerta no los detalla en el fragmento disponible; quien deba cumplir BOD 26-04 debe revisar el directivo completo.

Por qué importa acá

GitLab autoalojado es una herramienta habitual en organizaciones chilenas con equipos de desarrollo propio —bancos, retail, telcos, software factories— porque concentra código fuente, pipelines de CI/CD y, frecuentemente, secretos (tokens de despliegue, credenciales de nube, llaves de API) en variables de proyecto.

Un path traversal explotable contra la API de commits, sin autenticación previa confirmada en la fuente, es especialmente peligroso en instancias expuestas directamente a internet para colaboración remota o integraciones externas. La lectura arbitraria de archivos del servidor puede exponer archivos de configuración con credenciales de base de datos, tokens de runners de CI/CD, o incluso claves privadas usadas para firmar despliegues.

Evaluación, confianza media: es razonable esperar que un porcentaje relevante de las instancias GitLab autoalojadas en Chile estén dentro de la red corporativa y no expuestas a internet, lo que reduciría el riesgo inmediato. La alternativa que no podemos descartar es que instancias usadas para colaboración con contratistas externos, freelancers o partners sí estén publicadas. No contamos con datos de superficie expuesta (tipo Shodan/Censys) sobre .cl que confirme cuántas instancias están accesibles desde internet; un escaneo de superficie propio lo confirmaría o lo refutaría.

No sabemos si existe alguna organización chilena afectada específicamente por esta explotación; no hay alerta ANCI vinculada a esta CVE al momento de escribir esto. El ámbito de esta pieza es global porque el hecho —CVSS 10, explotación activa confirmada por CISA, cobertura corroborada por dos fuentes primarias— es estructuralmente importante independiente de una víctima local identificada.

Anatomía del ataque

Mapeo a marcos públicos, para que puedas cruzarlo con tu propia matriz de cobertura.

• T1190 — El vector reportado es una API pública de GitLab (commits API) accesible sin necesidad de acceso previo a la red interna.
• T1005 — El path traversal permite leer archivos del sistema de archivos del servidor GitLab más allá del scope esperado del repositorio.
• T1552.001 — Evaluación de riesgo, no hecho confirmado: si los archivos leídos incluyen configuración de GitLab o variables de CI/CD, el atacante podría obtener credenciales o tokens almacenados en texto plano.

title: Posible Path Traversal en API de Commits de GitLab (CVE-2026-85706)
id: d3f4a1c2-8b7e-4f9a-9c3d-1a2b3c4d5e6f
status: experimental
description: Detecta solicitudes HTTP hacia la API de commits de GitLab que contienen secuencias de path traversal, consistentes con la explotación de CVE-2026-85706.
references:
    - https://www.cisa.gov/news-events/alerts/2026/09/11/cisa-adds-one-known-exploited-vulnerability-catalog
    - https://www.cve.org/CVERecord?id=CVE-2026-85706
author: Vantis
date: 2026-09-15
logsource:
    category: webserver
detection:
    selection_endpoint:
        cs-uri-stem|contains: '/repository/commits'
    selection_traversal:
        cs-uri-query|contains:
            - '../'
            - '..%2f'
            - '%2e%2e%2f'
            - '..%252f'
    condition: selection_endpoint and selection_traversal
falsepositives:
    - Herramientas de escaneo de seguridad interno autorizadas
    - Nombres de rama o rutas de archivo legítimas con puntos consecutivos (poco común)
level: high

index=proxy OR index=web sourcetype=nginx:access OR sourcetype=waf
| regex uri_path="/repository/commits"
| regex uri_query="(\.\.\/|\.\.%2f|%2e%2e%2f|\.\.%252f)"
| stats count by src_ip, uri_path, uri_query, dest
| where count > 0

CommonSecurityLog
| where DeviceVendor has_any ("WAF", "F5", "Cloudflare", "Azure")
| where RequestURL has "/repository/commits"
| where RequestURL matches regex @"(\.\.\/|\.\.%2f|%2e%2e%2f|\.\.%252f)"
| project TimeGenerated, SourceIP, RequestURL, DeviceVendor, DeviceAction
| sort by TimeGenerated desc

Fuentes

• CISACISA Adds One Known Exploited Vulnerability to Catalog · 2026-09-11
• CVE.orgGitLab Community Edition and Enterprise Edition Path Traversal Vulnerability (CVE-2026-85706) · 2026-09-11
• CSA LabsGitLab CVSS 10 Commits-API Flaw Under CISA Mandate · 2026-09-12
• The Hacker NewsGitLab CVSS 10 File-Read Flaw Draws In-the-Wild Probes After Disclosure · 2026-09-11

Relacionado