Duo Claude Agent của GitLab có thể thực thi các lệnh tùy ý trong CI. Chưa ai chứng minh rằng nó đã được sử dụng.

GitLab đã phát hành các bản sửa lỗi vào ngày 26 tháng 8 năm 2026 cho một lỗ hổng có mức độ nghiêm trọng cao trong Duo Claude AI agent, tác nhân dựa trên Claude mà khuyến cáo của GitLab đặt trong bối cảnh CI. Được theo dõi với mã CVE-2026-18252, lỗi này cho phép một người dùng đã xác thực có vai trò Developer khiến các lệnh tùy ý được thực thi bên trong một tác vụ CI, vì tác nhân đã xử lý cấu hình từ một nguồn do người dùng kiểm soát mà không xác thực nguồn gốc của nó. GitLab đánh giá lỗ hổng 7,3 trên thang CVSS 3.1 và giới hạn phạm vi bị ảnh hưởng ở GitLab Enterprise Edition: các phiên bản từ 18.9 đến trước 19.1.7 (không bao gồm 19.1.7), từ 19.2 đến 19.2.5, và từ 19.3 đến 19.3.1. GitLab.com đã chạy mã đã được vá và khách hàng GitLab Dedicated được thông báo không cần thực hiện hành động nào. Không có nguồn nào được xem xét cho bài viết này báo cáo rằng bất kỳ ai đã khai thác lỗ hổng này, và không có bằng chứng khái niệm nào được công bố trên các nguồn mở. Mục nhập riêng của kho lưu trữ về sự cố này, cùng với các mức độ nghiêm trọng và độ tin cậy của nó, nằm trong Orca AI Incident Archive, cùng với các bản ghi lân cận từ cùng tuần.

Những gì khuyến cáo nêu, và những gì nó bỏ sót

Tài liệu chính ngắn. Ghi chú phát hành bản vá của GitLab cho 19.3.1, 19.2.5 và 19.1.7, được công bố cùng ngày, liệt kê bảy bản sửa lỗi bảo mật. Bản đầu tiên, được đánh dấu High, có tiêu đề "Vấn đề đưa chức năng từ vùng kiểm soát không đáng tin cậy vào tác nhân Duo Claude AI ảnh hưởng đến GitLab EE", và phần mô tả bằng văn xuôi của nó chỉ dài một câu. GitLab cho biết họ "đã khắc phục một vấn đề mà, trong những điều kiện nhất định, một người dùng đã xác thực có quyền vai trò developer có thể đã thực thi các lệnh tùy ý trong ngữ cảnh CI, do tác nhân Claude xử lý cấu hình từ một nguồn do người dùng kiểm soát." Đó là toàn bộ mô tả kỹ thuật mà nhà cung cấp đã công bố.

Bản ghi CVE, do chính GitLab gán, bổ sung cấu trúc chứ không phải nội dung thực chất. Bản ghi này phân loại điểm yếu là CWE-829, lặp lại các phạm vi bị ảnh hưởng và điểm CVSS 7.3, đồng thời ghi nhận rằng mã định danh được đặt trước vào ngày 29 tháng 7 năm 2026 và được công bố vào ngày 26 tháng 8 lúc 13:36 UTC. Báo cáo săn lỗi mà GitLab ghi công, báo cáo HackerOne 3863650, đã trả về mã 403 cho một yêu cầu truy xuất không xác thực vào ngày 29 tháng 10 năm 2026, nên chi tiết kỹ thuật của báo cáo này không được công khai, và mục theo dõi mà bản ghi CVE liên kết làm tài liệu tham chiếu — work item 607342 của gitlab-org/gitlab — không có nội dung issue nào đọc được trong lần kiểm tra đó.

Điều mà bản khuyến nghị không nói lại chính là phần mà người phòng thủ muốn biết. Nó không nêu rõ tính năng Duo nào liên quan, trường cấu hình nào mà agent đọc, hay nguồn do người dùng kiểm soát có dạng gì — liệu là một tệp trong repository, một biến pipeline, một bình luận trên issue hay merge request, hay một tham số API. Không điều nào trong số đó được nêu trong ghi chú của GitLab, trong bản ghi CVE, hay trong các bài báo thương mại đã xem xét cho bài viết này. Tài liệu sản phẩm của GitLab có mô tả một con đường Claude vào CI: các agent bên ngoài, mà tài liệu nói rằng sẽ chạy một pipeline CI/CD khi được nhắc đến trong một issue, epic hoặc merge request, và có sẵn một ví dụ cấu hình Claude Code cho con đường này. Không có nội dung nào đã xem xét liên kết con đường đó với CVE-2026-18252. Đó là bối cảnh giải thích vì sao một agent Claude lại nắm giữ quyền CI, chứ không phải cơ chế của lỗi.

Tài liệu tương tự cũng thẳng thắn về nhóm rủi ro. Trang về tác nhân bên ngoài của GitLab liệt kê các lỗ hổng prompt injection trong số những rủi ro mà khách hàng chấp nhận khi bật tính năng này, và mô tả việc quét prompt của bên thứ ba mà nó triển khai như một biện pháp giảm thiểu. Trang đó không đề cập đến CVE-2026-18252, và cảnh báo này không phải là mô tả về CVE đó. Tuy vậy, nó cho thấy rằng đầu vào không đáng tin cậy tiếp cận một tác nhân có quyền truy cập pipeline là rủi ro mà chính tài liệu của GitLab đã yêu cầu khách hàng chấp nhận.

Ngữ cảnh CI là nơi chứa thông tin xác thực.

Cụm từ mang hàm ý mức độ nghiêm trọng là “in a CI context”. Một job trong pipeline không phải là sandbox đồ chơi; nó chạy bằng token runner và bất kỳ bí mật nào mà dự án đã phơi bày cho nó. Cyber Security News, đưa tin về bản vá vào ngày 27 tháng 8 năm 2026, liệt kê những gì các job như vậy thường tiếp cận được — mã nguồn, sản phẩm build, thông tin xác thực triển khai, token đám mây và thông tin xác thực kho gói — và lưu ý rằng việc thực thi lệnh trong một pipeline có thể làm lộ các biến CI, thay đổi sản phẩm build, can thiệp vào quy trình phát hành hoặc vươn xa hơn vào hạ tầng được kết nối, tùy thuộc vào cấu hình của runner và phạm vi token. Bài viết của GBHackers cùng ngày sử dụng cách diễn đạt tương tự. Không cơ quan nào trong hai cơ quan trên báo cáo trường hợp điều đó đã xảy ra.

Sự phân biệt đó định hình cách nên hiểu lỗ hổng này. Đây là một lỗi thực thi lệnh trong một thành phần tác tử, không phải minh chứng cho việc một mô hình hành xử sai: bản ghi mô tả cấu hình được lấy từ một nguồn do người dùng kiểm soát và tác tử hành động dựa trên đó. Không có nguồn nào được xem xét mô tả vụ khai thác như một cuộc prompt injection thành công, và khuyến cáo của GitLab không bao giờ quy kết kết quả cho phán đoán của mô hình. Điểm yếu được ghi nhận là mã tin tưởng một nguồn cấu hình mà lẽ ra không nên tin — CWE-829, việc đưa chức năng từ một vùng kiểm soát không đáng tin cậy vào.

Hai điểm CVSS và một bước tương tác

Điểm 7.3 của GitLab không phải là điểm số duy nhất gắn với mã định danh này. Trong cùng bản ghi NVD, đánh giá chính của NIST là 8.1. Hai vectơ giống hệt nhau ngoại trừ một thành phần: GitLab đánh dấu tương tác người dùng là bắt buộc, còn NIST thì không. Cả hai điểm số đều nằm trong dải High, vì vậy khác biệt thực tế không nằm ở mức độ nghiêm trọng mà ở các điều kiện để lỗi kích hoạt. CERT Santé, nhóm ứng cứu sự cố máy tính của Bộ Y tế Pháp, đã công bố cảnh báo vào ngày 27 tháng 8 năm 2026 theo cách diễn giải của GitLab — 7.3, yêu cầu tương tác người dùng và tác nhân kích hoạt được mô tả là một tương tác khởi động quá trình xử lý cấu hình.

Các tín hiệu khai thác đều yên ắng, và mỗi tín hiệu trong số đó là một cách đọc hồ sơ chứ không phải dữ liệu từ xa. Đánh giá SSVC mà vai trò điều phối viên của CISA đã lưu trong mục NVD vào ngày 26 tháng 8 năm 2026 ghi nhận khai thác là “none”, khả năng tự động hóa là “no” và tác động kỹ thuật là “total”. Mô hình EPSS của FIRST đưa ra xác suất khai thác là 0.00519, tức chỉ hơn nửa phần trăm một chút, vào ngày 28 tháng 10 năm 2026, nằm ở phân vị thứ 44 trong số các lỗ hổng được chấm điểm. Hồ sơ của OpenCVE mang cùng con số EPSS và liệt kê CVE này là vắng mặt trong danh mục Known Exploited Vulnerabilities của CISA. Cảnh báo của CERT Santé ghi “actively exploited: no” và bổ sung rằng không có proof of concept nào tồn tại trong các nguồn mở vào ngày đó. Không điều nào trong đó là bằng chứng rằng không ai đã thử; đó là sự vắng mặt của bất kỳ nỗ lực nào được ghi nhận.

Ít nhất một trình tổng hợp, Mallory, đang lưu hành điểm 8,7 cho cùng mã định danh. Bản ghi của NVD không có chỉ số CVSS 4.0 nào cả — chỉ có 7,3 của GitLab và 8,1 của NIST — vì vậy con số đó không thể tái lập từ bất kỳ nguồn chính thức nào đã được xem xét, và nó không được sử dụng ở đây.

Điều gì đã được xác lập, và điều gì chưa.

Hồ sơ lưu trữ đánh giá mục này ở mức độ tin cậy A, không gây tranh cãi, và không ghi nhận tổn hại thực sự nào. Mức đánh giá đó thực sự có ý nghĩa ở đây: các tài liệu đồng thuận với nhau, và không có tài liệu nào mô tả tổn hại. Phần phân tách bên dưới là điều mà một bản tóm tắt một dòng không thể truyền đạt.

• Đã xác định: một lỗ hổng trong tác nhân AI Duo Claude đã khiến vai trò Developer đã được xác thực có thể thực thi các lệnh tùy ý trong ngữ cảnh CI, do tác nhân xử lý cấu hình từ một nguồn do người dùng kiểm soát. GitLab đã gán CWE-829 và CVSS 7.3.

• Đã xác định: các phạm vi bị ảnh hưởng và bản sửa lỗi — 18.9 đến 19.1.7, 19.2 đến 19.2.5, 19.3 đến 19.3.1, được vá vào ngày 26 tháng 8 năm 2026 trong 19.1.7, 19.2.5 và 19.3.1. Lỗ hổng được ghi nhận đối với GitLab EE; cùng bản phát hành đó cũng đã vá CE, cho một lỗi khác.

• Đã xác định: việc ghi công cho người báo cáo thwin_htet thông qua chương trình HackerOne của GitLab, và tình trạng vận hành mà GitLab đã cung cấp cho khách hàng — GitLab.com đã được vá, GitLab Dedicated nằm ngoài phạm vi của hành động cần thiết, các bản cài đặt tự quản lý được yêu cầu nâng cấp ngay lập tức.

• Đã xác lập:không có hoạt động khai thác nào được báo cáo. Đánh giá SSVC của CISA cho biết không có; EPSS vẫn duy trì dưới một phần trăm cho đến cuối tháng 10 năm 2026; theo OpenCVE, CVE này không nằm trong danh mục KEV; CERT Santé ghi nhận không có hoạt động khai thác tích cực nào vào ngày hôm sau khi công bố.

• Được cho là, nhưng nhà cung cấp chưa xác nhận: các mô tả tác động — secret có thể bị đọc, artefact có thể bị sửa đổi, bản phát hành có thể bị can thiệp — là cách các bài đưa tin diễn giải về những gì phạm vi token của một tác vụ CI thường cho phép, chứ không phải là phát hiện rằng bất kỳ điều nào trong số đó đã xảy ra trong trường hợp này. Cyber Security News và GBHackers đều trình bày chúng kèm "could" và "depending on"; không bài nào báo cáo một trường hợp cụ thể.

• Chưa xác định được: tính năng Duo nào và trường cấu hình nào có liên quan, và nguồn do người dùng kiểm soát thực sự là gì. Tuyên bố của nhà cung cấp không nêu rõ những điều này.

• Chưa xác định: có bao nhiêu bản cài đặt Enterprise tự quản lý nằm trên các dải bị ảnh hưởng, bao nhiêu bản đã nâng cấp sau ngày 26 tháng 8 năm 2026, hoặc liệu có bản nào bị tấn công hay không. Không có nguồn nào được xem xét đo lường mức độ áp dụng, và nhà cung cấp không công bố phương pháp phát hiện nào cho các instance được vá muộn.

• Chưa được xác định: cơ chế kỹ thuật. Theo quy tắc 90 ngày của GitLab, vấn đề sẽ được công khai vào khoảng cuối tháng 11 năm 2026; cho đến lúc đó, mục theo dõi được liên kết chỉ là một liên kết trỏ tới một lời giải thích chưa tồn tại công khai.

Bản sửa lỗi, thời gian ngừng hoạt động và thời gian chờ 90 ngày

GitLab đã phát hành 19.3.1, 19.2.5 và 19.1.7 cho cả Community và Enterprise Edition vào ngày 26 tháng 8 năm 2026, đồng thời cho biết họ đặc biệt khuyến nghị tất cả các cài đặt tự quản lý nên được nâng cấp lên một trong các phiên bản đó ngay lập tức. Phần Community Edition của bản phát hành này quan trọng vì một lỗ hổng khác trong cùng đợt — CVE-2026-77801, một vấn đề từ chối dịch vụ trong các pipeline nhập khẩu được đánh giá 6,5 — ảnh hưởng đến cả CE lẫn EE. Bản thân CVE-2026-18252 chỉ được ghi nhận cho Enterprise Edition.

Không có giải pháp thay thế nào từ nhà cung cấp. Cảnh báo của CERT Santé ghi nhận rằng không tồn tại giải pháp thay thế nào, và ghi chú của GitLab cũng không đưa ra giải pháp nào; biện pháp khắc phục duy nhất được nêu là nâng cấp. Bản phát hành này cũng không phải là bản có thể triển khai thay thế trực tiếp. Bản phát hành bao gồm các migration cơ sở dữ liệu thông thường trên cả ba phiên bản và các migration sau triển khai trên 19.3.1 và 19.2.5, mà GitLab cho biết sẽ gây thời gian ngừng hoạt động trên các cài đặt một node trong khi các migration hoàn tất. Các triển khai đa node có thể sử dụng quy trình nâng cấp không có thời gian ngừng hoạt động của GitLab.

Sáu bản sửa lỗi còn lại đều đáng để xem qua vì một trong số đó rất sát với chủ đề của mục này. CVE-2026-15387, được đánh giá ở mức 4.3 và được sửa trong cùng ba phiên bản, cho phép người dùng đã xác thực có quyền của vai trò developer gây ảnh hưởng đến môi trường thực thi của các job cưỡng chế Pipeline Execution Policy thông qua việc xử lý không đúng các phụ thuộc của job. Hai con đường dành cho vai trò developer để đi vào thực thi job, một mức High và một mức Medium, đã được đóng trong cùng bản vá.

Chính sách công bố thông tin của GitLab giải thích vì sao cơ chế này vẫn không rõ ràng. Ghi chú bản vá của họ nêu rằng các issue mô tả chi tiết từng lỗ hổng sẽ được công khai trên trình theo dõi issue 90 ngày sau bản phát hành mà chúng được vá. Tính từ ngày 26 tháng 8 năm 2026, điều đó đặt bài viết kỹ thuật cho CVE-2026-18252 vào tuần cuối tháng 11 năm 2026. Cho đến lúc đó, tham chiếu trên trình theo dõi trong bản ghi CVE không có bài viết kỹ thuật công khai nào phía sau mà bài viết này có thể đọc.

Vị trí của vấn đề này so với lỗ hổng agent khác của GitLab

GitLab đã công bố một lỗ hổng thứ hai, riêng biệt liên quan đến tác nhân vào ngày 2 tháng 10 năm 2026: CVE-2026-90970, được đánh giá 9,9, nằm trong AI Gateway chứ không phải trong tác nhân AI Duo Claude, và có thể bị khai thác thông qua một mẫu lời nhắc luồng được chế tạo đặc biệt chứ không phải thông qua cấu hình CI. Hai lỗ hổng là những lỗi khác nhau trong các thành phần khác nhau với điểm số khác nhau, và kho lưu trữ giữ chúng dưới dạng các mục riêng biệt. Điều chúng chia sẻ là hình thái — một thành phần AI trong đường phân phối hành động dựa trên cấu hình mà người dùng có đặc quyền thấp hơn có thể tác động — đó là lý do lỗ hổng tháng Mười đáng đọc bên cạnh lỗ hổng này chứ không phải thay thế nó.

Đối với một nhà vận hành, quyết định thì hẹp. Hãy kiểm tra phiên bản: 19.1.7, 19.2.5 và 19.3.1 là các bản phát hành đã được sửa, và bất kỳ phiên bản nào thuộc ba dải được nêu tên đều bị ảnh hưởng. Không có cách khắc phục tạm thời nào để dùng trong thời gian chờ, và cho đến cuối tháng 11, vẫn chưa có mô tả kỹ thuật nào được công bố để đối chiếu kiểm tra một phiên bản được vá muộn. Những gì hiện có là một ghi nhận rằng không ai đã báo cáo việc bị khai thác — đây là một tuyên bố về sự thiếu bằng chứng, chứ không phải là sự đảm bảo của nhà cung cấp rằng không xảy ra vi phạm.