据watchTowr透露，GitLab中一个新披露的安全漏洞已在公开披露后数日内遭到在野利用。
该漏洞编号为CVE-2026-19478（CVSS评分为9.4），属于代码注入类漏洞。未认证攻击者可在不需要凭据、用户交互或特殊配置的情况下，利用该漏洞在特定条件下修改或删除可公开访问的GitLab项目，并重写其中的数据。
以下版本的GitLab社区版（CE）和企业版（EE）受到该漏洞影响：
• 18.2至18.11.11之前版本
• 19.0至19.0.8之前版本
• 19.1至19.1.6之前版本
• 19.2至19.2.4之前版本
Part01
漏洞概述与影响版本
据watchTowr透露，GitLab中一个新披露的安全漏洞已在公开披露后数日内遭到在野利用。
该漏洞编号为CVE-2026-19478（CVSS评分为9.4），属于代码注入类漏洞。未认证攻击者可在不需要凭据、用户交互或特殊配置的情况下，利用该漏洞在特定条件下修改或删除可公开访问的GitLab项目，并重写其中的数据。
以下版本的GitLab社区版（CE）和企业版（EE）受到该漏洞影响：
• 18.2至18.11.11之前版本
• 19.0至19.0.8之前版本
• 19.1至19.1.6之前版本
• 19.2至19.2.4之前版本
Part02
补丁已发布，漏洞已遭在野利用
在本周早些时候发布的安全公告中，GitLab表示该问题可通过GraphQL指令进行利用。修复补丁已随GitLab CE和EE版本19.2.4、19.1.6、19.0.8及18.11.11一并发布。
主动暴露管理公司watchTowr向The Hacker News表示，该公司在漏洞披露后数分钟内便成功复现了该漏洞，并观察到其蜜罐网络遭到了在野利用。
Part03
AI正加速漏洞利用进程
watchTowr首席安全研究员Jake Knott表示：“这就是漏洞复现与利用领域的新现实：借助人工智能（AI）的攻击者能够压缩从漏洞披露到实际利用之间的时间窗口，而‘等到下一个补丁周期再处理’往往已经太迟。”
“尚未打补丁的组织应排查Web日志中是否有包含‘@gl_introduced’的请求，并留意探测或尝试利用的迹象。”
watchTowr还指出，该漏洞的影响远不止修改或删除公共项目。该公司补充称：“攻击者可以删除整个代码仓库，伪造合并记录以制造修复已生效的假象（实际上并未修复），还可以封禁项目维护者。”
这一事态再次凸显了人工智能正在迅速改变攻击的速度与规模，用户及时应用更新已变得至关重要。
运行面向互联网的自托管GitLab实例的组织应优先升级至已修复版本。如果无法立即打补丁，建议限制对“/api/graphql”的未认证访问，或完全移除公共仓库访问权限，以此作为缓解措施。
转自：freebuf
领取优惠
提交成功！