Falha crítica no GitLab permite modificar ou excluir projetos públicos sem autenticação
O GitLab lançou atualizações de segurança emergenciais para corrigir uma vulnerabilidade crítica nas edições Community Edition (CE) e Enterprise Edition (EE) que, sob determinadas condições, pode permitir que invasores sem autenticação modifiquem ou excluam remotamente projetos públicos e dados de usuários.
Identificada como CVE-2026-19478, a falha recebeu classificação Critical pelo GitLab e pontuação 9,4 no sistema CVSS. O problema está relacionado ao GraphQL e pode ser explorado pela rede sem que o atacante possua credenciais ou dependa de qualquer interação da vítima.
A atualização foi disponibilizada em 17 de agosto de 2026, fora do calendário habitual do GitLab, que normalmente publica correções duas vezes por mês, na segunda e na quarta quarta-feira. O patch emergencial chegou apenas cinco dias depois de uma atualização regular que não continha vulnerabilidades classificadas como críticas.
O problema afeta somente instalações autogerenciadas do GitLab. GitLab.com e GitLab Dedicated já executam versões corrigidas e, segundo a empresa, seus clientes não precisam tomar nenhuma medida.
As correções estão disponíveis nas versões GitLab 19.2.4, 19.1.6, 19.0.8 e 18.11.11. São vulneráveis todas as versões da 18.2 anteriores à 18.11.11, a linha 19.0 antes da 19.0.8, a 19.1 antes da 19.1.6 e a 19.2 antes da 19.2.4.
As ramificações 18.2 a 18.10 permanecem dentro da faixa afetada e não receberam a correção. Administradores que utilizam essas versões precisam migrar para uma versão suportada que contenha o patch.
De acordo com o GitLab, a CVE-2026-19478 pode permitir que um usuário não autenticado modifique ou exclua projetos públicos e dados de usuários por meio de uma diretiva GraphQL. A empresa, porém, não informou qual diretiva está envolvida nem detalhou as condições específicas necessárias para explorar a vulnerabilidade.
Até 18 de agosto, o alerta de segurança não indicava exploração ativa da falha, e nenhum código público de exploração havia sido identificado no GitHub.
A mesma atualização também corrige a CVE-2026-19650, vulnerabilidade de alta severidade com pontuação CVSS 7,1. O problema consiste em uma falha de Cross-Site Request Forgery (CSRF) no mecanismo responsável pelo processamento de consultas GraphQL multiplex.
Nesse segundo caso, a exploração exige interação do usuário. Segundo o GitLab, a vulnerabilidade poderia permitir, sob determinadas condições, que um usuário não autenticado executasse mutações por meio de requisições GET devido à validação inadequada das solicitações no processamento de consultas GraphQL multiplex.
A empresa informou que a atualização não introduz novas migrações e não deve exigir indisponibilidade em implantações com múltiplos nós.
A divulgação ocorre após pesquisadores publicarem, em julho de 2026, código de exploração funcional para outra vulnerabilidade que afetava servidores GitLab autogerenciados.
O GitLab também informou que os registros detalhando cada vulnerabilidade serão publicados em seu rastreador de issues 90 dias após o lançamento das respectivas correções. Com isso, informações técnicas adicionais sobre as CVE-2026-19478 e CVE-2026-19650 devem se tornar públicas por volta de meados de novembro de 2026.
