GitLab teve falha RCE explorada: seus dados correm perigo?

No dia 24 de julho de 2026, pesquisadores da depthfirst publicaram um código de exploração funcional para uma vulnerabilidade crítica no GitLab — e o que torna esse caso ainda mais alarmante é que a falha havia sido corrigida seis semanas antes, em 10 de junho, mas sem o devido destaque de segurança. Isso mesmo: o GitLab tratou a correção como uma simples atualização de bug, sem atribuir um CVE ou alertar seus usuários sobre o risco real. Como resultado, milhares de servidores autogerenciados permanecem vulneráveis até hoje.

A falha permite que qualquer usuário autenticado que possa fazer push para um projeto execute comandos como o usuário git no servidor. O ataque é sofisticado: um notebook Jupyter malicioso é commitado, e ao abrir o diff do commit, um ponteiro de heap é vazado. Com múltiplas tentativas, é possível mapear bibliotecas na memória e, em seguida, disparar um payload que concede execução remota de código (RCE). Não são necessários privilégios de administrador, acesso a runners de CI ou interação de outras vítimas — apenas um invasor com uma conta GitLab comum e um projeto onde possa colaborar.

O mais grave? A cadeia de exploração abusa de duas vulnerabilidades de corrupção de memória na biblioteca Oj, um parser JSON para Ruby. O GitLab utiliza essa biblioteca em seu renderizador de notebooks, o ipynbdiff, que processa arquivos .ipynb controlados pelo repositório. Em outras palavras, dados fornecidos pelo invasor chegam diretamente à memória gerenciada manualmente em C, dentro do processo do Puma — o servidor web do GitLab. Uma das falhas permite escrever além de uma pilha de aninhamento fixa de 1.024 bytes até controlar o callback de início do parser; a outra trunca uma chave de objeto de 65.565 bytes para 29 em um campo signed de 16 bits, retornando um ponteiro de heap vivo que o GitLab renderiza no diff. Com o vazamento, o invasor localiza a libc e redireciona o callback para a função system(), obtendo execução de comandos.

O exploit público foi desenvolvido para o GitLab 18.11.3 em x86-64, mas os pesquisadores alertam que a técnica não é exclusiva dessa versão. Pequenos ajustes em offsets de gadgets e símbolos são suficientes para alvejar outras builds na mesma arquitetura. A barreira real está na migração para ARM64, que exigiria convenções de chamada, gadgets e comportamento de heap diferentes. Ainda assim, o estrago potencial é imenso: comandos executados como git podem acessar código-fonte, segredos do Rails, credenciais de serviços, dados de CI/CD e serviços internos acessíveis à aplicação.

O silêncio ensurdecedor do GitLab: por que a falha não foi tratada como segurança?

Quando uma vulnerabilidade crítica é descoberta, o protocolo padrão da indústria envolve a emissão de um CVE (Common Vulnerabilities and Exposures) e um alerta de segurança destacado. No entanto, o GitLab optou por incluir a correção da Oj 3.17.3 na seção de “bug fixes” do changelog da versão 18.11.5, sem qualquer menção à cadeia de exploração via notebook-diff. Operadores que priorizam patches com base em avisos de segurança não tiveram motivo para tratar essa atualização como urgente.

Essa postura levanta questões incômodas sobre transparência e responsabilidade. Será que o GitLab subestimou a severidade por se tratar de uma exploração complexa? Ou teria evitado o alarde para não manchar sua reputação? O fato é que, ao não classificar a correção como de segurança, a empresa deixou milhares de instalações expostas por semanas — e, potencialmente, ainda expostas, já que muitos administradores podem não ter aplicado o patch.

A depthfirst reportou as falhas na Oj em 21 de maio; o mantenedor mergeou as correções em 27 de maio, e a versão 3.17.3 foi lançada em 4 de junho. A cadeia completa do GitLab foi reportada em 5 de junho, confirmada em 8 de junho e corrigida em 10 de junho. Apesar da rapidez na correção, a ausência de um identificador CVE e de comunicação clara deixa um rastro de desconfiança. Como afirmou Yuhang Wu, pesquisador da depthfirst, a falta de CVE “reflete como as divulgações foram coordenadas, e não a severidade”.

Para piorar, versões do GitLab entre 15.2 e 18.9 não receberam backport, pois estão fora das linhas de suporte de segurança. Instalações nessas versões precisam migrar para um release suportado — o que, na prática, significa que muitas organizações permanecerão vulneráveis por mais tempo, seja por inércia ou por falta de recursos para atualização imediata.

O impacto real: o que está em jogo quando o GitLab é comprometido?

O GitLab é muito mais do que um repositório de código. Ele é o coração do ciclo de desenvolvimento de software, armazenando não apenas o código-fonte, mas também segredos de infraestrutura, como chaves de API, tokens de acesso, credenciais de bancos de dados e configurações de deploy. Um invasor que executa comandos como git pode ler variáveis de ambiente, acessar o banco de dados do Rails, extrair secrets do CI/CD e até mesmo pivotar para outros serviços internos.

Imagine o cenário: uma empresa de tecnologia tem seu pipeline de CI/CD comprometido. O invasor injeta código malicioso nas builds, que é distribuído para milhares de clientes — um ataque à cadeia de suprimentos de software. Ou, de forma mais silenciosa, exfiltra todo o código-fonte proprietário e o vende na dark web. Os danos vão além do financeiro: propriedade intelectual, vantagem competitiva e confiança do mercado são destruídas.

Além disso, muitas organizações utilizam o GitLab como espinha dorsal de sua infraestrutura de autenticação, integrando-o com LDAP ou SAML. Um comprometimento do servidor GitLab pode permitir o roubo de hashes de senha ou tickets de autenticação, abrindo caminho para ataques de movimento lateral dentro da rede corporativa.

E não nos esqueçamos do fator tempo: a depthfirst estimou que a busca na memória leva de 5 a 10 minutos em uma instalação nova com dois workers, e de 1 a 2 horas em servidores mais antigos. Isso significa que um invasor paciente pode, de forma automatizada, comprometer dezenas de instâncias em uma única noite.

Aplicativos maliciosos: o outro lado da moeda dos vazamentos de dados

Enquanto falhas em plataformas como GitLab expõem dados centralizados, o usuário comum enfrenta uma ameaça mais próxima: aplicativos maliciosos. A conexão é mais direta do que parece. Assim como o GitLab processa notebooks sem a devida sanitização, muitos apps móveis abusam de permissões excessivas para coletar dados pessoais — contatos, localização, mensagens — e os enviam para servidores controlados por criminosos.

O caso recente de um aplicativo de “editor de fotos” que, na verdade, era um infostealer disfarçado, ilustra bem o perigo. Após a instalação, ele solicitava acesso aos arquivos do dispositivo e, em segundo plano, exfiltrava documentos, fotos e tokens de sessão de redes sociais. Os dados eram então usados para sequestro de contas e fraudes financeiras. O aplicativo acumulou mais de 100 mil downloads antes de ser removido da loja oficial.

O paralelo com o GitLab é assustador: em ambos os casos, a confiança é depositada em um software que não cumpre o que promete. No GitLab, espera-se que um diff de notebook seja inofensivo; no celular, acredita-se que um editor de fotos só acessará a galeria. A realidade é que permite-se muito mais do que o necessário, e as consequências são vazamentos de dados em larga escala.

Para se proteger de aplicativos maliciosos, siga estas orientações práticas:

• Revise permissões com ceticismo: um app de lanterna não precisa acessar seus contatos. Desconfie de solicitações excessivas e negue-as sempre que possível.
• Prefira lojas oficiais, mas não confie cegamente: mesmo a Google Play e a App Store já hospedaram apps fraudulentos. Verifique a reputação do desenvolvedor, o número de downloads e as avaliações.
• Mantenha o sistema operacional e os apps atualizados: muitas explorações se aproveitam de falhas já corrigidas. Atualizações frequentes fecham essas portas.
• Use soluções de segurança móvel: um bom antivírus pode detectar comportamentos suspeitos, como tentativas de conexão com servidores conhecidos por atividades maliciosas.
• Monitore vazamentos proativamente: se seus dados vazarem por um app malicioso, você precisa saber o quanto antes. Ferramentas de monitoramento de identidade digital são essenciais.

A lição é clara: tanto em plataformas de desenvolvimento quanto em dispositivos pessoais, a superfície de ataque é ampliada pela negligência com validação de entradas e pelo excesso de privilégios concedidos. A segurança precisa ser incorporada desde a concepção, não adicionada como um patch tardio.

O que as empresas não estão contando: a cultura do “patch silencioso”

O caso do GitLab não é isolado. Empresas de tecnologia frequentemente adotam a prática de “patch silencioso” — corrigem vulnerabilidades sem divulgá-las adequadamente, seja para evitar danos à imagem ou para não alarmar clientes. No entanto, essa estratégia é perigosamente míope. Administradores de sistemas não podem priorizar o que não conhecem, e invasores monitoram repositórios de código e changelogs em busca de correções não documentadas.

Um estudo da Google Project Zero mostrou que o tempo médio entre a divulgação de um patch e o surgimento de exploits é de apenas alguns dias. Quando a correção é silenciosa, os invasores têm uma janela ainda maior para explorar a falha antes que as defesas sejam ativadas. No caso do GitLab, a publicação do PoC pela depthfirst acendeu um alerta, mas e se um ator malicioso tivesse descoberto a falha de forma independente? Provavelmente já estaria explorando-a sem que ninguém soubesse.

A responsabilização é urgente. Órgãos reguladores como a ANPD (Autoridade Nacional de Proteção de Dados) no Brasil e o GDPR na Europa deveriam exigir transparência total em correções de segurança, com prazos máximos para notificação de usuários afetados. Enquanto isso não acontece, a melhor defesa é a desconfiança proativa: nunca assuma que seu provedor de serviços está sendo completamente franco sobre os riscos.

Como a Kzarka pode ajudar você a se proteger

Diante de um cenário onde até gigantes da tecnologia falham em proteger seus dados, a vigilância pessoal se torna indispensável. A Kzarka é uma plataforma brasileira de monitoramento de vazamentos de dados e proteção contra roubo de identidade digital. Com tecnologia avançada, a Kzarka vasculha a surface e a dark web em busca de informações pessoais expostas, como e-mails, senhas, documentos e números de telefone.

Se seus dados vazaram em incidentes como o do GitLab — ou por meio de aplicativos maliciosos — a Kzarka alerta você imediatamente, permitindo que tome ações como trocar senhas, ativar autenticação de dois fatores e monitorar atividades suspeitas. Não espere que as empresas admitam suas falhas: assuma o controle da sua identidade digital agora mesmo.

Não seja a próxima vítima. Visite https://kzarka.com e faça uma verificação gratuita para descobrir se seus dados já foram comprometidos. A segurança dos seus dados começa com a informação — e a Kzarka está aqui para fornecê-la.

FAQ – Perguntas Frequentes

1. O que é a falha RCE no GitLab e como ela funciona?

É uma vulnerabilidade que permite a execução remota de código (RCE) em servidores GitLab autogerenciados. Um invasor com uma conta autenticada pode enviar um notebook Jupyter malicioso e, ao visualizar o diff do commit, explorar falhas na biblioteca Oj para executar comandos como o usuário git.

2. Quais versões do GitLab estão afetadas?

As versões de 15.2.0 a 18.10.7, 18.11.0 a 18.11.4 e 19.0.0 a 19.0.1 estão vulneráveis. As correções estão nas versões 18.10.8, 18.11.5 e 19.0.2, respectivamente. Versões anteriores (15.2 a 18.9) não receberão backport e precisam ser migradas para um release suportado.

3. O GitLab emitiu um CVE para essa vulnerabilidade?

Não. O GitLab não classificou a correção como de segurança e não atribuiu um CVE. A falha foi listada apenas como “bug fix” no changelog, o que gerou críticas por falta de transparência.

4. Como posso saber se meu servidor GitLab foi comprometido?

Verifique logs de acesso não autorizado, processos suspeitos rodando como git e alterações inesperadas em repositórios. Monitore também o tráfego de rede para destinos desconhecidos. Se houver dúvidas, aplique o patch imediatamente e investigue possíveis acessos indevidos.

5. Aplicativos maliciosos também podem causar vazamentos de dados?

Sim. Apps maliciosos frequentemente abusam de permissões para coletar dados pessoais e enviá-los a criminosos. É crucial revisar permissões, baixar apps apenas de fontes confiáveis e usar ferramentas de monitoramento de identidade, como a Kzarka, para detectar exposições.

6. Como a Kzarka pode me ajudar a proteger meus dados?

A Kzarka monitora continuamente a internet e a dark web em busca de dados pessoais vazados, como e-mails e senhas. Se suas informações forem encontradas, você recebe um alerta imediato para tomar medidas de proteção, como trocar senhas e ativar autenticação em dois fatores.