【安全资讯】GitLab紧急修复高危双因素认证绕过与拒绝服务漏洞

概要：

近日，GitLab发布安全更新，修复了其软件开发平台中多个高危漏洞，其中包括一个可导致双因素认证（2FA）被绕过的严重缺陷。该漏洞可能允许攻击者在已知目标账户ID的情况下，完全绕过2FA保护，直接访问账户。鉴于GitLab平台拥有超过3000万注册用户，并被超过一半的《财富》100强公司使用，此次漏洞的影响范围极为广泛，对全球软件开发供应链安全构成直接威胁。

主要内容：

此次披露的高危漏洞被追踪为CVE-2026-0723，其根源在于GitLab认证服务中存在一处未检查返回值的弱点。攻击者可以利用此漏洞，通过提交伪造的设备响应，绕过对目标账户的双因素认证保护。这意味着，一旦攻击者通过其他途径（如数据泄露）获取了用户的账户ID，即可在无需2FA验证码的情况下直接登录。

除了2FA绕过漏洞，GitLab还修复了两个可导致拒绝服务（DoS）的高危漏洞。CVE-2025-13927允许未经身份验证的威胁行为者通过发送包含畸形认证数据的特制请求，触发DoS条件。而CVE-2025-13928则涉及API端点中不正确的授权验证，同样可被利用引发服务中断。

此外，还有两个中危DoS漏洞被修复，分别涉及通过配置绕过循环检测的畸形Wiki文档（CVE-2025-13335）以及重复发送畸形的SSH认证请求（CVE-2026-1102）。GitLab已发布18.8.2、18.7.2和18.6.4版本进行修复，并强烈建议所有自托管实例立即升级。

根据Shadowserver和Shodan的监测数据，目前仍有数千至数万台GitLab实例暴露在互联网上，极易成为攻击目标。此次漏洞的修复对于维护全球代码仓库和持续集成/持续部署（CI/CD）管道的安全至关重要，任何延迟升级都可能带来严重的账户接管与业务中断风险。