Unidad de cinta LTO-6 y ranuras de una biblioteca IBM TS3500

El procediment oficial per recuperar un GitLab comença amb un DELETE

El 12 d'octubre GitLab va publicar tres versions per un CVSS 10.0 que permet executar codi al servidor, i la mateixa nota avisa que en una instància d'un sol node el pedaç atura la instància. Si a més decideixes que cal reconstruir, el camí documentat quan el fitxer de secrets no apareix és esborrar les variables de CI/CD, anul·lar els tokens dels runners i desactivar el segon factor per a tothom. Nou coses deixen de ser accessibles; el codi no és cap d'elles.

Backup Ciberseguretat GitLab

Llegir més →

Cuarto de cableado de un edificio con un conmutador sobre una balda, bloques de conexión antiguos y latiguillos sueltos

11 Oct 2026 9 min lectura

Només un dels vuit errors explotats és en un aparell de xarxa

L'avís conjunt AA26-281A, que a Espanya signa el CNI, llista vuit CVE explotats amb èxit per Flax Typhoon. Un és en un aparell de xarxa, un Pulse Connect Secure; els altres set són programari sobre servidors: Bash i BIND arriben amb el sistema operatiu, Struts viatja dins d'una aplicació Java, i ProFTPD, GitLab, ONLYOFFICE Docs i Strapi els va aixecar algú un dia concret. Tres ja eren al catàleg de CISA, dos des del novembre del 2021 amb la casella de ransomware marcada. Els comptes fets sobre el JSON del catàleg, amb les ordres, i les tres preguntes que sí que aixequen aquest inventari.

Ciberseguretat Vulnerabilitats Inventari

Llegir més →

Dos portátiles abiertos sobre una mesa de oficina y una mano escribiendo sobre unos papeles

19 Sep 2026 7 min lectura

L'agent va fixar el commit del plugin. Git li va lliurar la branca de l'atacant

Plugin4Shell afecta els quatre agents de programació amb IA més usats: clonen el repositori del plugin, fan checkout del commit fixat i mai no comproven que hi hagin aterrat. Hem reproduït al laboratori, amb git 2.43, el comportament de git en què se sosté: codi de sortida 0, un avís que ningú no llegeix i el contingut de l'atacant al directori de treball. La mateixa cadena de 40 caràcters dona una resposta diferent segons quina ordre de git la llegeixi, així que auditar amb git log no serveix. I avui la defensa depèn sobretot d'on estigui allotjat el repositori del plugin.

IA Ciberseguretat DevOps

Llegir més →

Estanterías de un depósito de archivo con legajos y cajas de documentos etiquetados

13 Sep 2026 9 min lectura

«Només lectura» no existeix: GitLab posa un 10,0 a una fallada que només sap llegir

CVE-2026-85706 permet a un desconegut llegir fitxers d'un servidor GitLab autoallotjat. No escriu res, i tot i així porta la nota màxima. L'explicació no és al titular: és al vector que va signar el mateix fabricant, amb canvi d'abast i impacte alt en integritat. Repassem què diu el vector, per què CISA li va posar tres dies i marca de triatge forense, i com es contesta l'única pregunta que no respon el pedaç: ens van llegir?

Ciberseguretat GitLab Vulnerabilitats

Llegir més →

Caja fuerte pequeña de oficina abierta sobre una repisa, con dos sobres, un juego de llaves y una memoria USB dentro

19 Aug 2026 5 min lectura

Clonar el repositori no és tenir còpia de GitLab

El 17 d'agost GitLab va publicar quatre versions fora de calendari per una fallada que permet modificar o esborrar projectes públics sense compte. La resposta habitual —«el codi el tenim clonat»— és certa i és la part que menys es perd. Què s'emporta de debò un clon, què es queda només al servidor, per què el fitxer de secrets no va dins de la còpia i per què l'arranjament de juny, el que no portava CVE, és el que explica millor el problema.

CI/CD Backup DevOps

Llegir més →

Blog everyWAN

El procediment oficial per recuperar un GitLab comença amb un DELETE

Només un dels vuit errors explotats és en un aparell de xarxa

L'agent va fixar el commit del plugin. Git li va lliurar la branca de l'atacant

«Només lectura» no existeix: GitLab posa un 10,0 a una fallada que només sap llegir

Clonar el repositori no és tenir còpia de GitLab

Subscriu-te al nostre butlletí