Vulnerabilidade Crítica no GitLab Permite Exclusão de Projetos Públicos

A vulnerabilidade crítica CVE-2026-19478 expõe as instâncias auto-gerenciadas do GitLab a um risco sério. Classificada com CVSS 9.4, ela permite que um atacante não autenticado manipule ou até exclua projetos públicos usando uma diretiva GraphQL. Isso significa que a integridade e a disponibilidade de repositórios podem ser comprometidas sem a necessidade de credenciais ou interação do usuário.

A falha exige atenção imediata de administradores de sistemas que utilizam as edições Community Edition (CE) e Enterprise Edition (EE). Diferente de outras vulnerabilidades que focam em execução remota de código, esta ataca a confiança nos dados, permitindo a exclusão pura e simples. O GitLab também corrigiu uma falha de CSRF (CVE-2026-19650) no mesmo pacote, que, embora menos grave (CVSS 7.1), reforça a necessidade de manter as plataformas atualizadas.

A cobertura anterior do CEVIU News, como a notícia de 27 de julho de 2026 sobre as “Vulnerabilidades Críticas no GitLab”, abordou falhas que permitiam execução remota de código (RCE) via corrupção de memória em Ruby, exigindo acesso autenticado com permissão de 'push'. Agora, a nova vulnerabilidade CVE-2026-19478 no GraphQL difere significativamente.

Esta nova falha é ainda mais grave em seu vetor de ataque, pois permite a manipulação ou exclusão de projetos públicos por um atacante não autenticado. Ou seja, o risco amplifica-se, não requerendo acesso prévio à conta, ao contrário das falhas anteriores que demandavam um nível de autenticação para exploração.

Para empresas e desenvolvedores, esta vulnerabilidade é um alerta crítico sobre a segurança da cadeia de suprimentos de software. A capacidade de um agente externo apagar projetos públicos de forma não autenticada pode causar perda irreparável de dados, interrupção de operações e danos reputacionais. A urgência da correção, fora do cronograma normal de updates do GitLab, sublinha a gravidade da ameaça.

O impacto vai além da mera correção técnica; ele exige uma revisão das políticas de segurança para ambientes DevOps. A vulnerabilidade mostra que ferramentas cruciais como o GitLab, que hospedam código-fonte vital, são alvos constantes e precisam de ciclos de atualização e monitoramento contínuos para mitigar riscos de incidentes que podem escalar rapidamente para ataques devastadores.