GitLab hat dringende Sicherheitsupdates veröffentlicht, die mehrere Schwachstellen beheben, darunter CVE-2026-85706 mit der maximalen Bewertung CVSS 10.0 — eine path traversal-Schwachstelle im API für Repository-Commits, die es einem nicht authentifizierten Angreifer ermöglicht, beliebige Dateien vom GitLab-Server zu lesen. Betroffen sind beide Editionen — Community Edition und Enterprise Edition — beginnend mit Version 18.7. Nach Angaben von watchTowr begann das Scannen verwundbarer Instanzen innerhalb weniger Stunden nach der öffentlichen Offenlegung. Administratoren selbstverwalteter GitLab-Installationen mit Internetzugang müssen umgehend auf die Versionen 19.1.8, 19.2.6 oder 19.3.2 aktualisieren.
Technische Details zu CVE-2026-85706
Die Schwachstelle CVE-2026-85706 gehört zur Klasse CWE-22 (path traversal) und wird laut GitLab durch eine fehlerhafte Einschränkung von Pfaden und das Fehlen einer Authentifizierungsprüfung im API für Repository-Commits verursacht. Das bedeutet, dass ein externer Angreifer unter bestimmten Bedingungen ohne jegliche Zugangsdaten den Inhalt beliebiger Dateien auf dem Server abrufen kann.
Laut Eintrag in der GitHub Advisory Database betrifft die Schwachstelle folgende Versionen von GitLab CE und EE:
- Alle Versionen beginnend mit 18.7 bis 19.1.8 (ausschließlich)
- Alle Versionen beginnend mit 19.2 bis 19.2.6 (ausschließlich)
- Alle Versionen beginnend mit 19.3 bis 19.3.2 (ausschließlich)
Nach Angaben von watchTowr ermöglicht eine Ausnutzung den Zugriff auf GitLab-Protokolle und Konfigurationsdateien, die Zugangsdaten, Secrets und andere sensible Informationen enthalten. Die einzige notwendige Voraussetzung soll das Vorhandensein von mindestens einem öffentlichen Projekt auf der Zielinstanz sein.
Zweite kritische Schwachstelle: CVE-2026-87719
Im selben Update hat GitLab eine weitere kritische Schwachstelle behoben — CVE-2026-87719 mit der Bewertung CVSS 9.9. Hierbei handelt es sich um einen Fehler unsicherer Deserialisierung (CWE-502), der nur GitLab Enterprise Edition betrifft.
Laut Beschreibung in der GitHub Advisory Database ermöglicht die Schwachstelle einem authentifizierten Benutzer mit Zugriff auf Duo Chat, über ein speziell gestaltetes GraphQL-Subscription-Argument Konfigurationen von Advanced Search und sensible Zugangsdaten abzurufen, indem die Serialisierung umgangen und nach Serverobjekten gesucht wird. Betroffen sind Versionen von GitLab EE beginnend mit 18.3 bis 19.1.8, mit 19.2 bis 19.2.6 und mit 19.3 bis 19.3.2 (jeweils ausschließlich der genannten Patch-Versionen).
Der wesentliche Unterschied zwischen den beiden Schwachstellen liegt im Wirkungsspektrum. CVE-2026-85706 betrifft beide Editionen (CE und EE) und erfordert keine Authentifizierung, was sie für über das Internet erreichbare Installationen gefährlicher macht. CVE-2026-87719 ist auf die Enterprise Edition begrenzt und setzt authentifizierten Zugriff auf Duo Chat voraus, wodurch der Kreis potenzieller Angreifer deutlich kleiner ist.
Kontext: Serie kritischer Schwachstellen in GitLab
Dies ist nicht die erste kritische Schwachstelle in GitLab in den letzten Wochen. Zuvor wurde CVE-2026-19478 offengelegt — eine Schwachstelle zur Code-Injektion über GraphQL mit der Bewertung CVSS 9.4, die es einem nicht authentifizierten Benutzer erlaubte, öffentliche Projekte und Benutzerdaten über eine GraphQL-Direktive zu modifizieren oder zu löschen. Wir haben bereits über diese Schwachstelle geschrieben. Für CVE-2026-19478 existiert eine öffentliche Reproduktionsumgebung, die zwei Angriffsvektoren über GraphQL-Versionsfilter beschreibt. Behauptungen über eine sofortige aktive Ausnutzung von CVE-2026-19478 in freier Wildbahn wurden jedoch nicht unabhängig bestätigt — das Vorhandensein eines öffentlichen PoC ist für sich genommen kein Beweis für eine massenhafte Ausnutzung.
Eine ähnliche Vorsicht ist auch in Bezug auf CVE-2026-85706 angebracht: Die Aussage von watchTowr über den Beginn des Scannens am 11. September 2026 um 06:00 UTC wurde über eine Nachrichtenquelle übermittelt, und zum Zeitpunkt der Veröffentlichung wurden keine unabhängigen Bestätigungen durch andere Beobachter oder die CISA gefunden. Nichtsdestotrotz macht schon die Art der Schwachstelle — nicht authentifiziertes Dateilesen bei maximalem CVSS — ein rasches Aufkommen von Scans sehr wahrscheinlich.
Einschätzung der Auswirkungen
Die Attraktivität von GitLab als Ziel für Angreifer liegt auf der Hand: Unbefugter Zugriff eröffnet den Weg zum Quellcode, zu Secrets von CI/CD-Pipelines, zu Zugangsdaten und zur Möglichkeit, Code in Build-Pipelines einzuschleusen. Eine Kompromittierung des GitLab-Servers kann zu Supply-Chain-Angriffen führen — alles, was „stromabwärts“ von der kompromittierten Pipeline liegt, gerät in Gefahr.
Am stärksten gefährdet sind Organisationen, die selbstverwaltete GitLab-Instanzen mit Internetzugang betreiben, insbesondere bei vorhandenen öffentlichen Projekten.
Empfehlungen
- Sofortiges Update: Installieren Sie die Versionen 19.3.2, 19.2.6 oder 19.1.8 abhängig vom verwendeten Branch. Die Priorität für das Patchen von CVE-2026-85706 ist aufgrund des fehlenden Authentifizierungserfordernisses höher als für CVE-2026-87719.
- Zugriffsbeschränkung: Falls ein sofortiges Update nicht möglich ist, beschränken Sie den öffentlichen Zugriff auf die GitLab-Instanz.
- Log-Überprüfung: Analysieren Sie gemäß der Empfehlung von watchTowr die Protokolle auf HTTP-POST-Anfragen zu URIs der Form
/api/v4/projects/{id}/repository/commits/, die Parameterfile.Pathenthalten — dies kann auf Exploit-Versuche hindeuten. - Rotation von Secrets: War die Instanz in verwundbarer Konfiguration aus dem Internet erreichbar, sollten Sie eine Rotation der in den GitLab-Konfigurationsdateien gespeicherten Zugangsdaten und Secrets in Betracht ziehen.
Drei kritische Schwachstellen in GitLab innerhalb kurzer Zeit zeichnen eine deutliche Tendenz ab, die von Administratoren selbstverwalteter Installationen eine Neubewertung ihres Update-Managements verlangt. Die konkrete Maßnahme jetzt: Aktualisierung auf die Versionen 19.3.2, 19.2.6 oder 19.1.8 und Überprüfung der Commit-API-Logs auf Anzeichen von Exploit-Versuchen für CVE-2026-85706.
