Für die Quellcodeverwaltungsplattform Gitlab sind Ende letzter Woche wichtige Sicherheitsupdates erschienen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat dazu inzwischen eine Warnmeldung veröffentlicht, denn mindestens eine der geschlossenen Lücken wird bereits aktiv ausgenutzt.
Bei der attackierten Schwachstelle handelt es sich um CVE-2026-85706, die mit einem CVSS-Wert von 10,0 den höchstmöglichen und damit kritischen Schweregrad erreicht. Angreifer können unter bestimmten, von Gitlab nicht näher erläuterten Umständen beliebige Dateien von Gitlab-Servern auslesen. Eine vorherige Authentifizierung ist dafür nicht nötig, ein einzelner HTTP-Request an eine anfällige Instanz reicht aus. Ursache sind eine unzureichende Pfadbegrenzung (Path Traversal) sowie eine fehlende Authentifizierungsprüfung in Gitlabs Repository-Commits-API.
Sicherheitsforscher beobachten erste Angriffe
Die Sicherheitsforscher von Watchtowr hatten bereits am vergangenen Wochenende erste Ausnutzungsversuche beobachtet und warnen, dass Angreifer darüber an Konfigurations- und Anmeldedaten sowie weitere vertrauliche Informationen gelangen können, die wiederum für Folgeangriffe nutzbar sind. Betroffen sind sowohl die Community Edition als auch die Enterprise Edition von Gitlab in den Versionen 18.7 bis 19.1.7, 19.2 bis 19.2.5 und 19.3 bis 19.3.1. Patches stehen mit den Versionen 19.1.8, 19.2.6 und 19.3.2 bereit, Gitlab.com sowie die SaaS-Lösung Gitlab Dedicated sind laut Betreiber bereits geschützt.
18 Lücken insgesamt geschlossen
Neben der aktiv ausgenutzten Lücke schließen die Updates weitere 17 Sicherheitslücken, darunter CVE-2026-87719 mit ebenfalls kritischem Schweregrad, über die authentifizierte Angreifer in Verbindung mit der Advanced-Search-Funktion und dem Duo-Chat Konfigurations- und Zugangsdaten ausleiten können. Sechs weitere Lücken erreichen einen hohen, neun einen mittleren und eine einen niedrigen Schweregrad. Admins sollten ihre Instanzen zeitnah aktualisieren oder vorsorglich vom Netz nehmen und anschließend nach Hinweisen auf eine mögliche Kompromittierung suchen, das BSI hat dazu konkrete Empfehlungen veröffentlicht. Nach einem späteren Update des Cert-Bund sind allein in Deutschland rund 3.150 über das Internet erreichbare Gitlab-Instanzen für CVE-2026-85706 anfällig, weitere 1.640 Instanzen sind zusätzlich über die bereits seit August aktiv ausgenutzte Lücke CVE-2026-19478 angreifbar.