Alerta de Vulnerabilidade - GitLab CE/EE

Vulnerabilidade de injeção de código (CWE-94) na camada GraphQL do GitLab Community Edition e Enterprise Edition, com o identificador CVE-2026-19478/EUVD-2026-60443 [1][2][3]. A vulnerabilidade decorre do processamento incorreto da instrução @gl_introduced: quando um campo marcado com esta instrução não existe no esquema, o GitLab sintetiza-o em tempo de execução com base no nome fornecido pelo atacante, invocando o método correspondente no objeto subjacente antes que os controlos de autorização sejam aplicados. Projetos públicos são consultáveis sem sessão, o que torna a exploração não autenticada [4].

São afetadas as versões do GitLab CE/EE a partir de 18.2. A correção está disponível nas versões 18.11.11, 19.0.8, 19.1.6 e 19.2.4, lançadas a 17 de agosto de 2026 [1][3]. As versões da ramificação 18.2 a 18.10 estão no âmbito afetado mas não dispõem de patch; instalações nessas versões devem migrar para a ramificação 18.11 ou superior. O GitLab.com e o GitLab Dedicated estão já atualizados e não requerem ação [3].

A exploração é remota e não requer autenticação nem interação do utilizador. O atacante envia um pedido GraphQL com a instrução @gl_introduced que sintetiza campos de modificação de estado, permitindo eliminar repositórios, manipular registos de merge, alterar dados de projetos públicos e banir administradores, num único pedido HTTP sem credenciais [4].

Recomenda-se a atualização imediata para uma versão corrigida [3]:

• GitLab 19.2.x: atualizar para 19.2.4 ou posterior
• GitLab 19.1.x: atualizar para 19.1.6 ou posterior
• GitLab 19.0.x: atualizar para 19.0.8 ou posterior
• GitLab 18.2 a 18.10.x: migrar para a ramificação 18.11 e atualizar para 18.11.11 ou posterior

Medidas adicionais recomendadas:

• Se não for possível atualizar de imediato, restringir o acesso não autenticado ao endpoint /api/graphql (ex. na firewall ou WAF) [4];
• Para deteção de tentativas de exploração, pesquisar nos logs HTTP pedidos que contenham @gl_introduced [4];
• Rever os logs de auditoria do GitLab para identificar modificações ou eliminações inesperadas de projetos públicos, alterações de membros e rotação de credenciais de longa duração armazenadas na instância [4].

[1] - https://nvd.nist.gov/vuln/detail/CVE-2026-19478
[2] - https://euvd.enisa.europa.eu/vulnerability/CVE-2026-19478
[3] - https://github.com/advisories/GHSA-6whr-xjjm-6pf8
[4] - https://www.securityweek.com/critical-gitlab-flaw-exploited-shortly-after-disclosure/