Falha GraphQL no GitLab permite alterar projetos públicos sem login
Bug pode expor projetos públicos e dados de usuários em instâncias self-managed.
Resumo rápido
A CVE-2026-19478, falha crítica na camada GraphQL do GitLab, recebeu pontuação CVSS 9.4. Ela permite que atacantes sem login modifiquem ou excluam projetos públicos e afetem dados de usuários. O alerta pesa especialmente para empresas que mantêm GitLab CE/EE self-managed.
Neste artigo você vai aprender:
- O que é a CVE-2026-19478 no GitLab GraphQL.
- Por que o risco é alto para repositórios e pipelines CI/CD.
- Quem deve tratar o caso como prioridade.
- Quais sinais podem indicar impacto em projetos públicos.
- Quais ações tomar imediatamente.
O que aconteceu
O GitLab publicou correções em 17/08 para uma vulnerabilidade crítica no recurso GraphQL. A falha responde pelo identificador CVE-2026-19478 e recebeu nota CVSS 9.4, faixa reservada a problemas de exploração relevante e impacto severo.
Traduzindo o alerta: alguém de fora, sem nenhuma credencial válida, pode alterar ou apagar projetos públicos e afetar dados de usuários. O problema atinge versões específicas do GitLab CE e do GitLab EE, com peso maior em ambientes self-managed — instâncias hospedadas e administradas pela própria empresa.
Como a falha funciona
GraphQL é a interface pela qual outros sistemas consultam e enviam informações ao GitLab. De acordo com o alerta, a falha nessa camada aceita operações que jamais deveriam passar sem autenticação.
O efeito prático é imediato: um projeto público pode ser modificado ou removido, e informações de usuários podem ser tocadas. Para quem cuida de engenharia, o estrago não para no repositório: projetos no GitLab disparam pipelines de CI/CD que automatizam testes, builds e entregas de software.
Como identificar risco
Se sua empresa opera GitLab CE/EE self-managed e ainda não aplicou os patches de 17/08, o caso entra na fila de prioridade máxima. Vale olhar com atenção para os seguintes sinais:
- Projetos públicos com alterações inesperadas.
- Projetos públicos removidos sem registro claro de autorização.
- Dados de usuários alterados sem solicitação legítima.
- Pipelines CI/CD falhando após mudanças não planejadas em repositórios.
- Instâncias GitLab sem atualização recente ou sem controle formal de versão.
O que fazer agora
A recomendação é direta: atualize imediatamente as instâncias GitLab self-managed afetadas. Como o alerta disponível não detalha os números exatos das versões vulneráveis, o caminho seguro é levantar todas as instalações CE e EE internas e confirmar, uma por uma, se os patches de 17/08 já foram aplicados.
Concluída a atualização, revise projetos públicos, histórico de alterações e dados de usuários. Inclua os pipelines críticos nessa varredura, porque uma mudança indevida no repositório pode chegar a ambientes de produção sem que ninguém perceba a origem.
Checklist prático
- Liste todas as instâncias GitLab CE/EE self-managed usadas pela empresa, incluindo ambientes de teste.
- Confirme a versão instalada e aplique os patches de 17/08 nas instâncias afetadas.
- Revise projetos públicos, dados de usuários e pipelines CI/CD em busca de alterações indevidas.
Perguntas frequentes
Quem é afetado por essa falha no GitLab?
O alerta aponta versões específicas do GitLab CE e do GitLab EE. A prioridade imediata são as instâncias self-managed que ainda não receberam os patches de 17/08.
O atacante precisa ter uma conta no GitLab?
Não. O ponto mais grave do alerta é justamente a exploração por atacantes não autenticados, sem login válido.
Por que isso é grave para CI/CD?
Repositórios no GitLab alimentam pipelines de CI/CD. Se um projeto público for alterado ou excluído, testes, builds e entregas automatizadas seguem o mesmo caminho — e o problema pode alcançar produção.
Proteja sua empresa com a LC SEC
A LC SEC ajuda sua equipe a priorizar vulnerabilidades críticas, revisar exposição em repositórios e fortalecer controles em ambientes GitLab e CI/CD.
Conteúdos relacionados: Novo Nordisk tem 1,3 TB roubados apos token GitHub exposto por 60 dias, GitHub e Grafana invadidos por Nx Console, extensao VS Code com 2,2 mi, Grafana token no GitHub causa vazamento de codigo e extorsao e Red Hat: dezenas de pacotes npm oficiais com Miasma roubam tokens.
Compartilhe nas redes sociais:
