Eine mit 10,0 von 10 bewertete GitLab-Schwachstelle könnte es Angreifern ermöglichen, Schadcode auf betroffenen Servern auszuführen, wodurch Softwareentwicklungs- und Bereitstellungssysteme gefährdet werden.
GitLab hat am 12. Oktober 2026 Sicherheitsupdates veröffentlicht, die 24 Schwachstellen in der Community Edition (CE) und der Enterprise Edition (EE) beheben. Die schwerwiegendste, CVE-2026-97229, könnte unter bestimmten Bedingungen eine nicht authentifizierte Remote-Codeausführung ermöglichen. Administratoren betroffener selbstverwalteter Installationen werden dringend aufgefordert, sofort zu aktualisieren.
Sicherheitsforscher haben den Exploit reproduziert und damit einen praktikablen Angriffsweg bestätigt. Obwohl keine Angriffe auf Organisationen bestätigt wurden, könnten kompromittierte GitLab-Server Quellcode, Zugangsdaten und verbundene Bereitstellungsinfrastruktur offenlegen.
GitLab-Schwachstelle setzt Server der Remote-Codeausführung aus
GitLabs Sicherheitswarnung vom 12. Oktober weist auf einen Integer-Overflow im Compiler für reguläre Ausdrücke von Continuous Integration und Continuous Delivery (CI/CD) hin. Eine unzureichende Validierung könnte es ermöglichen, dass ein speziell erstellter Ausdruck in einer bösartigen CI/CD-Konfiguration beliebige Codeausführung auslöst.
Die Schwachstelle weist laut CVSS-Bewertung eine geringe Angriffskomplexität auf und erfordert weder eine Authentifizierung noch eine Benutzerinteraktion.
Das Cybersicherheitsunternehmen Rapid7 hat den Exploit reproduziert gegen eine ungepatchte GitLab-19.4.1-CE-Instanz. Die Forscher führten Betriebssystembefehle mit den Berechtigungen des GitLab-gitBenutzers aus.
Der demonstrierte Angriff erforderte eine bösartige CI/CD-Konfiguration und einen speziell erstellten Repository-Pfad. Auf Instanzen, die eine öffentliche Registrierung und die Erstellung von Projekten erlauben, könnten Angreifer diese Voraussetzungen schaffen, indem sie eigene Projekte anlegen.
Der Exploit war gegen die gepatchte Version 19.4.2 nicht erfolgreich. Mit Stand vom 13. Oktober meldete Rapid7 keine bestätigte Ausnutzung von CVE-2026-97229 in freier Wildbahn.
GitLab hat im August eine weitere kritische Schwachstelle behoben – nach beobachteten Ausnutzungsversuchen. Diese Angriffe betrafen eine separate Schwachstelle.
Das Oktober-Release behebt außerdem CVE-2026-92883, eine mit 8,7 bewertete Cross-Site-Scripting-Schwachstelle, sowie CVE-2026-16301, eine mit 8,5 bewertete Autorisierungsschwachstelle, die Pipelines geschützter Branches betrifft.
GitLab-Patches und Sicherheitsmaßnahmen
GitLab nennt die folgenden Releases als Fehlerbehebungen für CVE-2026-97229:
- GitLab 19.2: Version 19.2.8.
- GitLab 19.3: Version 19.3.5.
- GitLab 19.4: Version 19.4.2.
GitLab.com ist bereits gepatcht, und Kunden von GitLab Dedicated müssen nichts unternehmen. Version 19.3.5 behebt außerdem ein Problem mit Merge Requests, das im inzwischen abgelösten Release 19.3.4 eingeführt wurde.
Diese Versionen beheben CVE-2026-97229, aber Administratoren sollten nicht davon ausgehen, dass damit jede Schwachstelle ihrer Installation behoben ist. GitLabs Warnung führt außerdem CVE-2026-84284 als Schwachstelle auf, die alle 19.3-Versionen betrifft. Administratoren sollten die vollständige Warnung prüfen und GitLabs Empfehlungen befolgen, um das neueste unterstützte Sicherheitsrelease zu installieren.
Bis die Updates installiert sind, kann die Einschränkung des Zugriffs auf nicht vertrauenswürdige Projekte die Anfälligkeit für den demonstrierten Angriffsweg verringern. Zusätzliche Schutzmaßnahmen können dazu beitragen, eine Kompromittierung einzudämmen, aber das Patchen nicht ersetzen.
Sicherheitsteams sollten:
- Patch-Bereitstellung überprüfen: Betroffene Instanzen erfassen, internetexponierte Server priorisieren und erfolgreiche Upgrades bestätigen.
- Nicht vertrauenswürdigen Zugriff einschränken: Unnötige öffentliche Registrierungen deaktivieren und verhindern, dass nicht vertrauenswürdige Benutzer öffentliche Projekte erstellen oder ändern.
- Entwicklungsinfrastruktur isolieren: GitLab-Server und Runner von sensiblen Netzwerken und Produktionssystemen segmentieren.
- CI/CD-Zugangsdaten schützen: Allowlist für Job-Tokens und Berechtigungen nach dem Prinzip der geringsten Privilegien erzwingen; möglicherweise offengelegte Zugangsdaten rotieren, wenn eine Kompromittierung vermutet wird.
- Verdächtige Aktivitäten überwachen: Unerwartete Pipeline-Ausführungen, Änderungen an Repositories, ungewöhnliche Serverprozesse und verdächtige Authentifizierungsversuche untersuchen.
- Pläne zur Reaktion auf Sicherheitsvorfälle testen: Verfahren zur Isolierung kompromittierter Server, zur Beweissicherung und zur Wiederherstellung vertrauenswürdiger Konfigurationen überprüfen.
Diese Maßnahmen stärken außerdem die Sicherheit in Entwicklungs-Toolchains, insbesondere wenn automatisierte Pipelines auf sensible Infrastruktur zugreifen.
Eine separate Kompromittierung von Coders Modul-Registry im September zeigte, wie vertrauenswürdige Entwicklungsinfrastruktur missbraucht werden kann, um Schadcode zu verbreiten. GitLabs zentrale Rolle bei der Softwarebereitstellung macht kompromittierte Server zu einem potenziellen Zugang zu Quellcode, Zugangsdaten und Produktionssystemen. Das Patchen anfälliger Instanzen und die Einschränkung des Zugriffs auf verbundene Infrastruktur können dazu beitragen, den Schaden einzudämmen.
Weiterlesen: Eine separate im September in CISA-Katalog der ausgenutzten Schwachstellen aufgenommene GitLab-Schwachstelle unterstreicht, warum die Untersuchung verdächtiger Aktivitäten mit dringenden Patches einhergehen sollte.