Companiile din România care își găzduiesc propriul cod sursă pe servere GitLab locale sau depind de furnizori externi de administrare IT se confruntă cu un risc iminent de compromitere totală a infrastructurii. Avertismentul din 23 octombrie 2026, raportat de Go4IT și confirmat de Directoratul Național de Securitate Cibernetică (DNSC), vizează o vulnerabilitate de severitate maximă (scor CVSS 10.0, identificată ca CVE-2026-110264) în instanțele GitLab self-managed. Această alertă coincide cu dezvăluirea Microsoft privind compromiterea serviciului ConnectWise Cloud Backup de către gruparea Storm-0940 cu ajutorul agenților AI, dar și cu avertismentul lansat de directorul DNSC, Dan Cîmpean, în cadrul Bucharest Cybersecurity Conference 2026, privind vulnerabilitatea lanțului de aprovizionare software și aplicarea sancțiunilor NIS2.
Anatomia dublei alerte: De la motorul Onigmo din GitLab la atacurile AI pe ConnectWise
Prima amenințare lovește direct depozitele de cod ale firmelor. Breșa din GitLab afectează toate versiunile autogestionate lansate din 2014 (începând cu versiunea 7.0) și provine dintr-o eroare de tip integer overflow în motorul de expresii regulate Onigmo, declanșată la procesarea fișierelor text de tip .org. Un atacator poate executa cod de la distanță (RCE) fără autentificare, preluând controlul complet asupra serverului, cheilor API și bazelor de date conectate. Doar instanțele actualizate la versiunile 19.5.1, 19.4.3 sau 19.3.6 sunt protejate.
În paralel, investigația Microsoft arată cum gruparea Storm-0940 a folosit cadrul de testare a penetrării bazat pe inteligență artificială ARTEX pentru a compromite identitățile de aplicație (service principals) din ConnectWise Cloud Backup (fostul SkyKick). Atacatorii au generat aproape 3.000 de tentative de autentificare pe minut, vizând circa 2.250 de organizații și compromițând confirmat cel puțin 162 de tenanți Microsoft 365. În aproximativ 50 de organizații, atacatorii și-au atribuit roluri de Administrator Global în mai puțin de trei ore de la accesul inițial, ocolind complet autentificarea multifactor (MFA) clasică a utilizatorilor. Despre modul în care automatizarea ofensivă schimbă regulile jocului am detaliat și în analiza despre Riscurile AI: CEO Cloudflare avertizează asupra vulnerabilităților masive.
| Vector de Risc Analizat | Mecanism Tehnic de Compromitere | Impact Operațional și Financiar în Companie |
|---|
| GitLab Self-Managed (CVE-2026-110264) | Execuție de cod fără autentificare (CVSS 10.0) prin fișiere .org și motorul Onigmo. | Furt de proprietate intelectuală, injectare de cod malițios în ERP/e-commerce, extragere chei cloud. |
| ConnectWise Cloud Backup (Storm-0940) | Deturnare Service Principals în M365, scalată cu agenți AI (ARTEX) la 3.000 cereri/minut. | Acces neautorizat la Exchange, SharePoint și Teams; escaladare la Global Admin și amenzi GDPR/NIS2. |
De ce sunt companiile din România ținte directe și cât costă neglijența
Multe companii locale de producție, distribuție, retail sau dezvoltare software păstrează instanțe GitLab pe servere proprii din dorința de a controla costurile sau de a ține codul aplicațiilor interne „în casă”. Problema apare atunci când aceste servere sunt lăsate expuse direct în internet, fără VPN și fără un regim strict de patching. Dacă un atacator îți preia serverul GitLab, nu îți fură doar codul sursă; el poate injecta secvențe malițioase direct în pipeline-ul CI/CD. La următorul deployment automat, site-ul tău de comerț sau sistemul ERP intern va rula codul atacatorului, exfiltrând datele clienților sau plățile online.
După cum a subliniat Dan Cîmpean la Bucharest Cybersecurity Conference 2026, „suveranitatea digitală nu mai este doar o discuție despre locul în care sunt ținute datele, ci și una despre lanțul de aprovizionare”. Mai mult, DNSC a avertizat explicit că perioada de grație s-a încheiat, iar organizațiile care ignoră igiena cibernetică și raportarea incidentelor riscă amenzi severe sub directiva NIS2 și Legea 58/2023.
Măsuri tehnice imediate și reducerea suprafeței de expunere
Răspunsul la atacuri care compromit un tenant în trei ore presupune atât măsuri imediate din partea echipei tale de administrare IT, cât și o regândire a aplicațiilor web pe care le folosești zilnic. Pentru sistemele vizate de alertele DNSC și Microsoft, administratorii IT ai companiilor trebuie să aplice de urgență trei pași de igienă tehnică:
- Izolarea și actualizarea instanțelor GitLab self-hosted: Aplicarea imediată a patch-urilor oficiale 19.5.1, 19.4.3 sau 19.3.6 și eliminarea expunerii directe în internet a serverelor de cod, restricționând accesul exclusiv prin rețeaua privată a organizației.
- Revizuirea identităților de aplicație (Service Principals) în Microsoft 365: Verificarea de către administratorul de sistem a aplicațiilor terțe conectate la mediul cloud al firmei, revocarea permisiunilor OAuth excesive și activarea politicilor Conditional Access pentru conexiunile automate.
- Eliminarea platformelor web greoaie și a fișierelor deconectate: La nivelul IMM-urilor, multe vulnerabilități pornesc de la site-uri construite pe teme comerciale încărcate cu zeci de module neactualizate sau de la gestionarea datelor operaționale în fișiere Excel partajate fără controlul accesului.
Pentru companiile care vor să evite riscurile asociate platformelor rigide și tabelelor de calcul neprotejate, la WebReady construim Soluții web moderne și Creare site web prezentare București cu cod curat, viteză ridicată (scor Lighthouse 98+), backup automat și protecție inclusă la nivel de site. De asemenea, prin serviciile noastre de Consultanta inteligenta artificiala București și dezvoltare de softuri mici la comandă, înlocuim fișierele Excel complicate cu aplicații web centralizate, cu drepturi de acces clar definite pentru angajați și asistenți virtuali AI instruiți pe documentele afacerii tale.
Întrebări Frecvente
1. Suntem afectați de alerta GitLab dacă folosim versiunea cloud GitLab.com?
Nu. Vulnerabilitatea CVE-2026-110264 vizează exclusiv instanțele GitLab administrate pe servere proprii (self-managed). Platforma cloud GitLab.com a fost deja actualizată de furnizor, însă trebuie să verifici dacă ai runneri CI/CD locali găzduiți pe infrastructura proprie care necesită actualizare.
2. De ce nu a oprit autentificarea multifactor (MFA) atacul asupra ConnectWise și Microsoft 365?
Atacatorii nu s-au logat cu nume de utilizator și parolă, ci au compromis „identitățile de aplicație” (Service Principals) folosite de serviciul de backup pentru a comunica automat prin API cu Microsoft Graph. Aceste conexiuni machine-to-machine ocolesc MFA-ul uman dacă nu sunt restricționate prin politici Conditional Access pentru workload identities.
3. Ce măsuri urgente trebuie să iau astăzi dacă nu pot actualiza imediat serverul GitLab local?
Restricționează imediat accesul public din internet către interfața web și porturile SSH ale serverului GitLab la nivel de firewall. Permite conectarea exclusiv prin VPN intern, dezactivează opțiunea de proiecte publice și verifică jurnalele aplicației pentru erori de tip „Onigmo native worker crash” sau „Org mode render error burst” înainte de a aplica patch-ul 19.5.1.