GitLab hat ein außerplanmäßiges Sicherheitsupdate veröffentlicht, um die kritische Schwachstelle CVE-2026-19478 mit einem CVSS-Score von 9,4 zu beheben, die unter bestimmten Bedingungen einem nicht authentifizierten Angreifer erlaubt, über eine GraphQL-Direktive öffentliche Projekte und Nutzerdaten aus der Ferne zu verändern oder zu löschen. Die Schwachstelle betrifft selbstverwaltete Installationen von GitLab Community Edition und Enterprise Edition in den Versionen von 18.2 bis einschließlich 19.2.3. Die Cloud-Dienste GitLab.com und GitLab Dedicated haben den Fix bereits erhalten und erfordern keine Maßnahmen von Nutzern. Administratoren selbstverwalteter Instanzen müssen umgehend auf die Versionen 19.2.4, 19.1.6, 19.0.8 oder 18.11.11 aktualisieren.
Technische Details der Schwachstellen
CVE-2026-19478 — Remote-Datenmanipulation ohne Authentifizierung
Die kritische Schwachstelle CVE-2026-19478 hat von GitLab einen CVSS-Score von 9,4 erhalten. Laut dem veröffentlichten CVSS-Vektor kann die Ausnutzung über das Netzwerk erfolgen, erfordert keine Anmeldedaten und setzt keinerlei Interaktion durch das Opfer voraus. GitLab beschreibt das Problem als die Möglichkeit für einen nicht authentifizierten Benutzer, „über eine GraphQL-Direktive öffentliche Projekte und Nutzerdaten aus der Ferne zu verändern oder zu löschen“.
Die konkrete in der Attacke verwendete GraphQL-Direktive und die genauen Bedingungen, die für die Ausnutzung erforderlich sind, wurden nicht offengelegt. Zum Zeitpunkt der Veröffentlichung des Patches wurden keine Fälle aktiver Ausnutzung festgestellt, die Schwachstelle ist nicht im CISA-KEV-Katalog aufgeführt.
Betroffene Versionen:
- Alle Versionen von 18.2 bis 18.11.11 (ohne 18.11.11)
- 19.0 bis 19.0.8
- 19.1 bis 19.1.6
- 19.2 bis 19.2.4
Wichtiger Punkt: Fixes wurden nur für die Versionszweige 18.11, 19.0, 19.1 und 19.2 veröffentlicht. Die Zweige 18.2 bis 18.10 liegen zwar im Bereich der verwundbaren Versionen, erhalten jedoch keine Patches. Organisationen, die diese Versionen einsetzen, müssen auf einen der korrigierten Zweige aktualisieren.
CVE-2026-19650 — CSRF im Handler für multiple GraphQL-Anfragen
Der zweite Fix in diesem Release betrifft CVE-2026-19650 — eine Cross-Site Request Forgery (CSRF)-Schwachstelle mit einem CVSS-Score von 7,1 (High). Das Problem hängt mit einer fehlerhaften Validierung von Anfragen im Handler für multiple GraphQL-Anfragen zusammen, was es einem nicht authentifizierten Benutzer erlaubte, Mutationen über GET-Requests auszuführen. Im Gegensatz zur kritischen Schwachstelle erfordert die Ausnutzung von CVE-2026-19650 eine Benutzerinteraktion — ein typisches Szenario für CSRF-Attacken, bei denen das Opfer einem bösartigen Link folgen muss.
Bewertung der Auswirkungen
Die Kombination zweier Faktoren macht CVE-2026-19478 besonders gefährlich: die fehlende Notwendigkeit einer Authentifizierung und die Möglichkeit destruktiver Aktionen — des Löschens von Projekten und Nutzerdaten. Für Organisationen, die selbstverwaltetes GitLab mit öffentlich zugänglichen Projekten einsetzen, entsteht dadurch ein unmittelbares Risiko des Verlusts von Code, CI/CD-Artefakten, Pipeline-Konfigurationen und zugehörigen Daten.
Der Bereich der betroffenen Versionen umfasst mehr als ein Jahr an Releases — von 18.2 bis zur aktuellen 19.2 —, was auf eine weite Verbreitung des verwundbaren Codes hinweist. Organisationen, die Updates auf älteren Zweigen 18.2–18.10 hinausgezögert haben, befinden sich in der schwierigsten Lage: Für sie führt kein Weg an einer Migration auf einen unterstützten Zweig vorbei.
Die Tatsache, dass GitLab den Patch außerhalb des regulären Update-Zyklus veröffentlicht hat, unterstreicht die Schwere des Problems aus Sicht des Herstellers.
Empfehlungen
- Aktualisieren Sie umgehend selbstverwaltete GitLab-Instanzen auf die Versionen 19.2.4, 19.1.6, 19.0.8 oder 18.11.11. GitLab gibt an, dass das Update keine neuen Migrationen einführt und keinen Stillstand bei Multi-Node-Deployments erfordert.
- Prüfen Sie die aktuelle Version über das GitLab-Administrationsmenü oder den Befehl
gitlab-rake gitlab:env:info. - Wenn Ihre Instanz auf den Zweigen 18.2–18.10 läuft — planen Sie die Migration auf den Zweig 18.11 oder höher, da für diese Zweige keine Patches veröffentlicht wurden.
- Erwägen Sie bis zum Update die Möglichkeit, den Netzwerkzugriff auf den GitLab-GraphQL-Endpunkt mittels Netzwerkfilterung zu beschränken — das verringert die Angriffsfläche für CVE-2026-19478.
- Führen Sie ein Audit öffentlicher Projekte auf unautorisierte Änderungen oder Löschungen im Zeitraum vor der Installation des Patches durch.
Angesichts des CVSS-Scores von 9,4, der fehlenden Authentifizierungserfordernis und des destruktiven Potenzials von CVE-2026-19478 sollte die Aktualisierung selbstverwalteter GitLab-Instanzen auf die korrigierten Versionen mit höchster Priorität erfolgen — noch bevor technische Details zur Schwachstelle veröffentlicht werden, was gemäß der Offenlegungspolitik von GitLab innerhalb von 90 Tagen nach Erscheinen des Patches geschehen kann.
