Lỗ hổng GitLab nguy hiểm đang bị khai thác: Kẻ tấn công không cần đăng nhập vẫn đọc được dữ liệu

GitLab vừa xác nhận một lỗ hổng bảo mật nghiêm trọng đang bị khai thác trên thực tế, đe dọa trực tiếp các tổ chức tự vận hành máy chủ GitLab của mình. Đây là lời cảnh báo mới nhất cho thấy các nền tảng quản lý mã nguồn đang trở thành mục tiêu hấp dẫn của giới tấn công.

Lỗ hổng CVE-2026-85706 là gì?

CVE-2026-85706 là một lỗ hổng path-traversal (duyệt đường dẫn) nghiêm trọng trong GitLab. Điểm đáng lo ngại là nó đã vượt qua giai đoạn rủi ro lý thuyết để bước vào trạng thái bị khai thác thực tế được xác nhận.

Cụ thể, lỗ hổng ảnh hưởng đến các phiên bản GitLab CE/EE tự triển khai (self-managed), tức những bản cài đặt do chính doanh nghiệp vận hành trên hạ tầng của mình, thay vì dùng GitLab.com.

Điểm nguy hiểm nhất: kẻ tấn công từ xa không cần xác thực vẫn có thể đọc các tệp tùy ý trên máy chủ GitLab.

Vì sao lỗ hổng này đặc biệt nguy hiểm?

Điều khiến CVE-2026-85706 trở nên đáng báo động nằm ở sự kết hợp giữa mức độ nghiêm trọng và điều kiện khai thác:

• Không cần đăng nhập: Kẻ tấn công không cần bất kỳ tài khoản hợp lệ nào để bắt đầu khai thác, nghĩa là rào cản gia nhập gần như bằng không.
• Đọc tệp tùy ý: Lỗ hổng cho phép truy cập vào các tệp nằm ngoài phạm vi cho phép của ứng dụng, mở ra nguy cơ lộ mã nguồn, khóa bí mật, tệp cấu hình và thông tin xác thực.
• Ảnh hưởng rộng: Không chỉ GitLab mà toàn bộ chuỗi công cụ DevOps kết nối với nó cũng có thể bị ảnh hưởng dây chuyền.

Với một nền tảng lưu trữ mã nguồn, việc rò rỉ dữ liệu có thể đồng nghĩa với việc toàn bộ tài sản trí tuệ và bí mật hạ tầng của doanh nghiệp bị phơi bày.

Doanh nghiệp Việt Nam cần làm gì ngay lúc này?

Nhiều doanh nghiệp và đội ngũ phát triển tại Việt Nam vẫn chạy GitLab tự triển khai trên máy chủ nội bộ hoặc VPS để kiểm soát dữ liệu. Đây chính là nhóm đối tượng cần hành động ngay.

• Kiểm tra phiên bản: Xác định xem máy chủ GitLab của bạn có nằm trong danh sách bị ảnh hưởng hay không.
• Cập nhật bản vá: Ưu tiên nâng cấp lên phiên bản GitLab đã được vá càng sớm càng tốt.
• Rà soát dấu hiệu xâm nhập: Kiểm tra log truy cập để tìm hành vi bất thường, đặc biệt là các yêu cầu đọc tệp đáng ngờ.
• Cách ly và sao lưu: Nếu chưa thể vá ngay, hãy hạn chế quyền truy cập từ internet và đảm bảo bản sao lưu sẵn sàng.

Bài học về quản trị chuỗi công cụ DevOps

Sự việc lần này là lời nhắc nhở rằng các công cụ phát triển cũng là bề mặt tấn công. GitLab, Jenkins, CI/CD runner hay kho lưu trữ nội bộ đều có thể trở thành cửa ngõ nếu không được cập nhật thường xuyên.

Đối với các đội ngũ kỹ thuật, việc duy trì một quy trình vá lỗ hổng định kỳ, giám sát tập trung và áp dụng nguyên tắc đặc quyền tối thiểu không còn là tùy chọn mà là yêu cầu bắt buộc.

Trong bối cảnh các cuộc tấn công chuỗi cung ứng phần mềm ngày càng gia tăng, tốc độ phản ứng với các lỗ hổng nghiêm trọng chính là thước đo năng lực bảo mật của một tổ chức.

Người dùng và quản trị viên GitLab nên theo dõi thông báo chính thức từ GitLab để cập nhật thông tin vá lỗi và các khuyến nghị giảm thiểu rủi ro mới nhất.