GitLab CVE-2026-85706 คะแนน CVSS 10 เข้า CISA KEV — กำหนดแก้ภายใน 14 ก.ย. 2026
ถ้าทีมคุณรัน GitLab เองบนอินเทอร์เน็ต รอบนี้ไม่ใช่ข่าวไกลตัวครับ
CVE-2026-85706 เป็นช่องโหว่ path traversal (การเดินทางข้ามพาธไฟล์นอกขอบเขตที่อนุญาต) ใน repository commits API ของ GitLab ตามหน้าแพตช์อย่างเป็นทางการ ภายใต้เงื่อนไขบางอย่าง ผู้ใช้ที่ยังไม่ได้ยืนยันตัวตนอาจอ่านไฟล์บนเซิร์ฟเวอร์ได้ คะแนน CVSS 10.0
GitLab อธิบายสาเหตุสั้น ๆ ว่าเกี่ยวกับการจำกัดพาธที่ไม่เหมาะสมและการบังคับยืนยันตัวตนที่ขาดใน API นี้ โพสต์นี้หยุดที่ระดับผลกระทบและแพตช์ ไม่สอนขั้นตอนโจมตี
ใครได้รับผลกระทบ
กระทบทั้ง CE และ EE ตามช่วงเวอร์ชันที่ GitLab ระบุ:
- ทุกเวอร์ชันตั้งแต่ 18.7 ก่อน 19.1.8
- ทุกเวอร์ชันตั้งแต่ 19.2 ก่อน 19.2.6
- ทุกเวอร์ชันตั้งแต่ 19.3 ก่อน 19.3.2
แพตช์ที่ควรอัปคือ 19.1.8 / 19.2.6 / 19.3.2 (ออก 10 ก.ย. 2026) GitLab.com ระบุว่าอัปแล้ว ส่วนลูกค้า Dedicated ไม่ต้องทำอะไรเพิ่ม
ทำไมต้องรีบ
The Hacker News อ้าง watchTowr ว่ามี probe (การลองยิงเพื่อหาเป้า) ในป่าตั้งแต่ประมาณ 06:00 UTC ของ 11 ก.ย. 2026 ไม่กี่ชั่วโมงหลังเปิดเผย และ CISA ใส่ CVE นี้ในแคตตาล็อก KEV (Known Exploited Vulnerabilities) โดยหน่วยงาน FCEB ของสหรัฐต้องแก้ภายใน 14 ก.ย. 2026
สำหรับทีมไทยที่รัน self-managed การอยู่ใน KEV คือสัญญาณว่าควรยกระดับคิวแพตช์ทันที แม้คุณจะไม่ใช่หน่วยงานสหรัฐก็ตาม
สิ่งที่ควรทำ (ปลอดภัย)
อัปแพตช์ จำกัดการเปิดสาธารณะถ้ายังไม่จำเป็น และติดตามบันทึกจากผู้ดูแลระบบตามคำแนะนำของผู้เชี่ยวชาญด้านความปลอดภัย อย่าคัดลอกคำสั่งจากโพสต์โซเชียลที่อ้างว่า “ทดสอบช่องโหว่” โดยไม่รู้ที่มา