In der Community Edition (CE) und der Enterprise Edition (EE) der Quellcodeverwaltungssoftware Gitlab klafften zwei gefährliche Sicherheitslücken, die mit den neuesten Updates geschlossen wurden. Eine davon ist kritisch und erlaubt es Angreifern, ohne jegliche Authentifizierung öffentliche Projekte und Nutzerdaten zu manipulieren oder zu löschen. Wenn du eine selbst verwaltete Gitlab-Instanz betreibst, solltest du zügig aktualisieren.
Löschen ohne Anmeldung
Die kritische Lücke ist als CVE-2026-19478 registriert und erreicht einen CVSS-Wert von 9,4. Sie ermöglicht es nicht authentifizierten Angreifern laut Beschreibung unter bestimmten, nicht näher erläuterten Umständen, öffentliche Projekte und Benutzerdaten über eine GraphQL-Anweisung aus der Ferne zu ändern oder zu löschen.
Hinzu kommt mit CVE-2026-19650 eine zweite Lücke mit hohem Schweregrad (CVSS 7,1). Laut Gitlab ermöglicht sie es nicht authentifizierten Angreifern, ebenfalls unter bestimmten Umständen, aufgrund einer fehlerhaften Validierung von Anfragen bei der Verarbeitung von GraphQL-Multiplex-Abfragen Mutationen über GET-Anfragen auszuführen.
Betroffene und gepatchte Versionen
Beide Lücken betreffen die CE- und EE-Varianten von Gitlab ab den Versionen 18.2, 19.0, 19.1 und 19.2. Gepatcht wurden sie mit den Versionsnummern 18.11.11, 19.0.8, 19.1.6 und 19.2.4. Gitlab empfiehlt, die verfügbaren Updates auf selbst verwalteten Instanzen zügig einzuspielen, um anfällige Systeme vor möglichen Angriffen zu schützen. Hilfe zur Aktualisierung findest du auf der Website des Anbieters.
Hinweise auf eine aktive Ausnutzung gibt es bisher nicht. Allerdings vergeht zwischen Offenlegung und Ausnutzung von Schwachstellen dank moderner KI-Tools heute immer weniger Zeit, du solltest mit dem Einspielen der Updates also nicht allzu lange warten. Wer Gitlabs Dienste über gitlab.com oder die SaaS-Lösung Gitlab Dedicated nutzt, muss dagegen nicht aktiv werden. Dort laufen laut Gitlab bereits die gepatchten Versionen, für deren Aktualisierung der Anbieter selbst zuständig ist.