GitLab 自托管致命任意文件读取（CVE-2026-85706）：已遭利用，加密团队勿当普通补丁

GitLab 自托管致命任意文件读取（CVE-2026-85706）：已遭利用，加密团队勿当普通补丁

一句话

CVSS 10：GitLab 仓库 commits API 存在路径穿越与鉴权缺失，可在受影响的自托管 CE／EE 上实现未授权任意文件读取。请立即打补丁。

导语

自托管 GitLab 遭遇 CVSS 10 分的未授权文件读取漏洞（CVE-2026-85706）。对加密货币／Web3 团队而言，这不是又一篇「朝鲜黑客盗币」叙事，而是：你的 CI 主机会不会把下游一切的钥匙泄漏出去。先打补丁，再轮换密钥。

关键事实

受影响版本 → 修复版本

• 18.7 至 19.1.8 之前 → 19.1.8
• 19.2 至 19.2.6 之前 → 19.2.6
• 19.3 至 19.3.2 之前 → 19.3.2

请升级到上表对应修复版或更新的已修补版本。

对防御方意味着什么

攻击者可在未认证（或依赖匿名可读项目可达性）的情况下，以 GitLab 服务账户权限读取任意文件。高价值目标包括：配置文件、密钥、CI token、部署密钥、对象存储凭据等。

厂商描述的是文件读取原语，并非直接宣称 RCE。未授权可达性可能取决于是否存在匿名可读仓库；对外暴露的实例应视为紧急处理。

与 Web3／加密业务的关系（不作朝鲜归因）

交易所、钱包、协议团队常自建 GitLab 托管私有仓与 CI。本洞对应的是凭据与流水线沦陷风险——与 CI 供应链失败同一类问题，与 TraderTraitor 式社工或 Safe UI 欺骗不是同一条线。在没有独立证据前，不要归因 Lazarus／TraderTraitor／Jade Sleet 等朝鲜集群。

框架一句话：这是机会主义的基础设施 CVE 利用，不是朝鲜集群专文，也不是 Drainer-as-a-Service；集群标签不适用，除非另有情报。

处置建议

1. 紧急升级到 19.1.8／19.2.6／19.3.2 或更新的已修补版本。
2. 轮换 CI 变量、Runner token、部署密钥，以及云与对象存储相关密钥。
3. 在披露窗口前后，排查日志中针对 repository commits API 的可疑未认证 POST。
4. 收紧匿名仓库暴露面；锁定管理员与 API 访问。
5. 不要在生产环境运行来源不明的公开 PoC。

主要参考来源

1. GitLab 补丁说明：https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-3-2-released/
2. Rapid7：https://www.rapid7.com/blog/post/etr-cve-2026-85706-critical-gitlab-path-traversal-exploited-in-the-wild/
3. watchTowr：https://watchtowr.com/resources/rapid-reaction-gitlab-critical-path-traversal-vulnerability-cve-2026-85706/
4. Greenbone：https://www.greenbone.net/en/blog/gitlab-path-traversal-vulnerability/

本包仅含中文正文 Markdown，无插图。请勿将 guneykabel 等公开 PoC 仓库作为正文主源。