Gitlab

CISA เพิ่ม 2 ช่องโหว่ที่ถูกใช้โจมตีจริงเข้าแคตตาล็อก KEV ได้แก่ CVE-2026-97229 ใน GitLab CE/EE คะแนน CVSS 10.0 และ CVE-2026-76418 ใน Cisco Secure Firewall ASA และ FTD คะแนน 8.6 ช่องโหว่ GitLab เปิดให้ผู้ไม่ล็อกอินรันโค้ดผ่าน regex ในคอนฟิก CI/CD ส่วนช่องโหว่ Cisco ทำให้ไฟร์วอลล์รีบูตจากระยะไกล Alpine Linux เผยว่าถูกยิง exploit GitLab ช่วง 20-21 ตุลาคมจนโปรเซสแครช 8 ครั้ง ไม่พบว่าสำเร็จแต่สร้างเซิร์ฟเวอร์ใหม่ทั้งหมด หน่วยงานรัฐบาลกลางสหรัฐฯ ต้องแพตช์ภายใน 1 พฤศจิกายน 2569

Ruby ออกเวอร์ชัน 4.0.9, 3.4.12 และ 3.3.13 แก้บั๊ก 3 ตัวในเอนจิน regex Onigmo ซึ่งเป็นต้นเหตุช่องโหว่รันโค้ดวิกฤต 4 ตัวที่ GitLab แพตช์ในเดือนที่ผ่านมา Ruby ระบุว่าแอปใดก็ตามที่คอมไพล์ regex จากข้อความที่ผู้โจมตีควบคุมได้อยู่ในข่ายเสี่ยง ไม่ใช่แค่ GitLab การตั้ง Regexp.timeout หรือจำกัดความยาว pattern ป้องกันไม่ได้ Ruby 3.2 ลงไปจะไม่ได้รับแพตช์ ที่สำคัญคือ Ruby ยังไม่ขอ CVE ของตัวเอง ทำให้สแกนเนอร์ที่ตรวจตาม CVE อาจมองไม่เห็นความเสี่ยงนี้

GitLab ออกแพตช์เมื่อ 21 ตุลาคม 2569 แก้ CVE-2026-110264 คะแนน CVSS 10.0 ซึ่งเปิดให้ผู้ไม่ได้ล็อกอินรันโค้ดบนเซิร์ฟเวอร์ self-managed ต้นเหตุคือ integer overflow ตอนคอมไพล์ regex ในเอนจิน Onigmo ที่ GitLab ฝังมาในแพ็กเกจ ช่องโหว่กระทบทุกเวอร์ชันตั้งแต่ 7.0 ปี 2557 และ GitLab backport แพตช์ไปถึง 18.11.13 ผู้ที่อัปเดตรอบ 12 ตุลาคมยังอยู่ในขอบเขตและต้องอัปเดตซ้ำ ยังไม่พบการโจมตีจริงและไม่มีวิธีแก้ชั่วคราว

GitLab ออกแพตช์ความปลอดภัยเมื่อ 12 ตุลาคม 2569 แก้ CVE-2026-97229 คะแนน CVSS 10.0 ใน GitLab CE และ EE ช่องโหว่เป็น integer overflow ในตัวคอมไพล์ regex ของ CI/CD ที่เปิดให้ผู้โจมตีไม่ต้องล็อกอินรันโค้ดบนเซิร์ฟเวอร์ผ่าน regex ที่สร้างขึ้นเฉพาะในค่าตั้ง CI/CD กระทบเวอร์ชัน 19.2 ถึง 19.4 ต้องอัปเดตเป็น 19.2.8, 19.3.4 หรือ 19.4.2 GitLab.com และ GitLab Dedicated แพตช์แล้ว ยังไม่มีรายงานการโจมตีจริง แต่ GitLab เพิ่งแพตช์ช่องโหว่ regex ของ CI/CD ระดับวิกฤตไปเมื่อเดือนกันยายน

บริษัท CloudSEK พบแอฟฟิลิเอตแรนซัมแวร์ชื่อ Azazel ที่ทำงานร่วมกับกลุ่ม The Gentlemen ลงทะเบียน reverse shell เป็นเครื่องมือในผู้ช่วยเขียนโค้ด AI ผ่าน MCP แล้วใช้สั่งงานในเครือข่ายเหยื่อจริง แคมเปญกระทบกว่า 20 องค์กรใน 6 ประเทศ ส่วนใหญ่เริ่มจากความลับที่ขโมยจาก GitLab pipeline และประวัติ repository เหยื่อรายหนึ่งเสียข้อมูลทะเบียนการเงินกว่า 120,000 รายการ ส่วนแพลตฟอร์ม AI การแพทย์ถูกเจาะผ่าน SSRF และถูกดูดข้อมูลเกิน 6 TB

นักวิจัยจาก Aikido Security เผยว่าอีเมลส่วนตัวที่ GitLab ให้ไว้สำหรับเปิด issue ทางอีเมลนั้นแท้จริงคือ credential. ใครก็ตามที่ได้อีเมลนี้ไปสามารถส่งแพตช์ให้ GitLab commit ในชื่อเจ้าของ ไปยัง branch ใดก็ได้รวมถึง main และสั่งรันงาน CI/CD ในชื่อเจ้าของได้. โทเคนในอีเมลไม่หมดอายุ ใช้ได้กับทุกโปรเจกต์ที่บัญชีเข้าถึงได้ และข้ามทั้ง IP allowlist และ 2FA. วิธีแก้คือรีเซ็ตโทเคน incoming email ในหน้าโปรไฟล์.

บริษัท GitLab เปิดเผยและออกแพตช์ช่องโหว่ CVE-2026-85706 เมื่อวันที่ 10 กันยายน 2569 เป็นช่องโหว่ประเภท path traversal ที่ได้คะแนน CVSS เต็ม 10 เปิดให้ผู้ไม่ผ่านการยืนยันตัวตนอ่านไฟล์ใดก็ได้บนเซิร์ฟเวอร์ GitLab กระทบทั้ง Community Edition และ Enterprise Edition ที่ติดตั้งใช้เอง CISA เพิ่มช่องโหว่นี้เข้าบัญชี KEV เมื่อ 11 กันยายน และบริษัท watchTowr พบผู้โจมตีเริ่มดูดไฟล์ตั้งค่าและกุญแจ SSH ออกไปแล้วภายในสุดสัปดาห์เดียวกัน ผู้เชี่ยวชาญเตือนว่าการเข้าถึงแบบอ่านอย่างเดียวก็เพียงพอให้ได้ credential และความลับ CI/CD ที่นำไปสู่การเจาะห่วงโซ่อุปทานได้

GitLab ออกแพตช์ความปลอดภัยนอกรอบแก้ CVE-2026-19478 ที่บริษัทจัดระดับวิกฤตด้วยคะแนน CVSS 9.4 ช่องโหว่นี้เปิดทางให้ผู้ที่ไม่ผ่านการยืนยันตัวตนแก้ไขหรือลบโปรเจกต์สาธารณะและข้อมูลผู้ใช้จากระยะไกลผ่าน GraphQL directive ภายใต้เงื่อนไขบางอย่างที่บริษัทไม่ระบุ แพตช์อยู่ในเวอร์ชัน 19.2.4, 19.1.6, 19.0.8 และ 18.11.11 โดยมีเพียงการติดตั้งแบบ self-managed ที่ต้องลงมือ ส่วนรุ่น 18.2 ถึง 18.10 อยู่ในช่วงที่ได้รับผลกระทบแต่ไม่มีแพตช์รองรับ

นักวิจัยจาก depthfirst เผยแพร่โค้ดโจมตีที่ใช้งานได้จริงสำหรับช่องโหว่ RCE ใน GitLab ที่ผู้ใช้ที่ล็อกอินแล้วและมีสิทธิ์ push สามารถรันคำสั่งในสิทธิ์บัญชี git ได้ ผ่านการฝัง Jupyter notebook อันตรายให้ตัวแปลง JSON ชื่อ Oj ทำงานผิดพลาด GitLab แพตช์ไปแล้วเมื่อ 10 มิ.ย. แต่จัดเป็นแค่ bug fix ไม่มี CVE ไม่มี CVSS ทำให้หลายองค์กรไม่รีบอัปเดต กระทบทุกรุ่น CE/EE ตั้งแต่ 15.2.0 ยังไม่พบการโจมตีจริง

GitLab ออกอัปเดตความปลอดภัยให้ทั้ง Community Edition และ Enterprise Edition ปิดช่องโหว่รวม 13 รายการ โดยมี 3 รายการระดับความรุนแรงสูง ตัวที่ร้ายแรงที่สุดคือ CVE-2026-10086 ซึ่งเป็น XSS ใน Analytics dashboard ของ GitLab EE ตามด้วย CVE-2026-10712 ที่เป็น XSS ใน Web IDE ซึ่งผู้โจมตีที่ไม่ต้องยืนยันตัวตนใช้ประโยชน์ได้ และ CVE-2026-12053 ที่เปิดให้เข้าถึงข้อมูลสำคัญ แพตช์อยู่ในเวอร์ชัน 19.1.1, 19.0.3 และ 18.11.6