es

CVE-2026-85706: Lectura Arbitraria de Archivos CVSS 10.0 en GitLab Añadida al Catálogo CISA KEV

Análisis de CVE-2026-85706 en GitLab: salto de directorio CVSS 10.0 sin autenticación, robo de repositorios y directivas urgentes de CISA.

James Luther

James Luther

— 1 min read
CVE-2026-85706: Lectura Arbitraria de Archivos CVSS 10.0 en GitLab Añadida al Catálogo CISA KEV
📌
Serie de Resúmenes de Seguridad: Edición de Fin de Semana • 14 de Septiembre de 2026 • 6 min de lectura

Una vulnerabilidad crítica de gravedad máxima CVSS 10.0 de salto de directorio (path traversal) en GitLab Community y Enterprise Edition (CVE-2026-85706) ha sido añadida a CISA KEV tras detectarse ataques activos para sustraer código fuente y secretos de CI/CD.

🚨
Inteligencia de Vulnerabilidades: Identificador: CVE-2026-85706 Clasificación: CWE-22: Salto de Directorio (Path Traversal) Severidad: Crítica / Gravedad Máxima (CVSS 10.0) Estado: 🚨 Añadido al Catálogo CISA KEV / Explotación Remota Activa Sistemas Afectados: GitLab CE/EE 19.1.x < 19.1.8, 19.2.x < 19.2.6, 19.3.x < 19.3.2 Mitigación: Actualizar a GitLab 19.1.8, 19.2.6 o 19.3.2 de inmediato y rotar secretos

Mecánica de la Falla y Exfiltración de Secretos

La falla se localiza en el endpoint de paquetes de GitLab. Peticiones HTTP manipuladas con secuencias de escape de rutas permiten a atacantes no autenticados descargar archivos del sistema como config/database.yml, claves SSH privadas y variables de entorno de pipelines.

📚
Más Análisis en Detalle de este Resumen: CVE-2026-75650: RCE Crítico Sin Autenticación en Adobe Commerce (APSB26-146) CVE-2025-25249: Desbordamiento de Heap en Fortinet FortiOS y FortiSASE APSB26-141: Ola de Ejecución de Código en Adobe Acrobat y Reader Aviso SecOps: Protección de Repositorios Git y Pasarelas de Comercio Electrónico ← Volver al Resumen de Fin de Semana Completo

Read more