GitLab hat außerplanmäßige Updates veröffentlicht, um CVE-2026-97229 zu beheben – eine kritische Schwachstelle mit der maximalen Bewertung von 10,0 Punkten nach CVSS, die einem nicht authentifizierten Angreifer erlaubt, beliebigen Code auf dem GitLab-Server auszuführen. Das Problem betrifft die GitLab Community Edition und die Enterprise Edition in den Versionen 19.2–19.4. Administratoren selbst gehosteter GitLab-Instanzen müssen die Patches umgehend installieren: Korrekturen stehen in den Versionen 19.2.8, 19.3.5 und 19.4.2 zur Verfügung. Der Cloud-Dienst GitLab.com ist nach Angaben des ursprünglichen Sicherheitshinweises bereits aktualisiert.
Technische Details zu CVE-2026-97229
Der Eintragung in der GitHub Advisory Database zufolge ist die Schwachstelle als CWE-190 (Integer Overflow or Wraparound) klassifiziert – ein Integer-Überlauf in der Komponente zur Verarbeitung von Regulären Ausdrücken in CI/CD-Konfigurationen. Unter bestimmten Bedingungen konnte ein Angreifer ein speziell präpariertes Reguläres Ausdrucksmuster in die Pipeline-Konfiguration einschleusen und so die Ausführung beliebigen Codes auf Serverseite erreichen. Kritisch wichtig: Für die Ausnutzung war keine Authentifizierung erforderlich.
Betroffene Versionen von GitLab CE/EE:
- 19.2 – alle Versionen vor 19.2.8;
- 19.3 – alle Versionen vor 19.3.5;
- 19.4 – alle Versionen vor 19.4.2.
Einträge in der NVD und im CVE Program bestätigen den kritischen Schweregrad. Zum Zeitpunkt der Veröffentlichung wurden keine unabhängigen Hinweise auf eine aktive Ausnutzung von CVE-2026-97229 in freier Wildbahn festgestellt, und die Schwachstelle wurde nicht in den CISA-KEV-Katalog aufgenommen. Das Fehlen von Daten zur Ausnutzung bedeutet jedoch nicht, dass sie nicht stattfindet – die maximale CVSS-Bewertung und der Verzicht auf Authentifizierung machen diese Schwachstelle zu einem attraktiven Ziel.
Begleitende Schwachstellen im selben Update
Der Patch-Release GitLab 19.4.2 behebt noch mehrere schwerwiegende Schwachstellen, die von unabhängigen Quellen bestätigt wurden:
- CVE-2026-92883 (CVSS 8.7) – Cross-Site Scripting (XSS), das einem authentifizierten Angreifer erlaubt, über ein speziell präpariertes Repository beliebigen JavaScript-Code in den Browsern anderer Nutzer auszuführen. Das Problem steht im Zusammenhang mit einer fehlerhaften Bereinigung von HTML-Attributen in der Syntaxhervorhebung. Bestätigt durch den offiziellen CVE-Eintrag.
- CVE-2026-16301 (CVSS 8.5, nach Angaben des ursprünglichen Sicherheitshinweises) – eine Verletzung der Rechteprüfung, durch die ein Nutzer mit der Rolle Developer CI/CD-Pipelines in geschützten Branches ohne die entsprechenden Berechtigungen starten konnte. Betrifft Branches ab Version 18.7, wie in der Eintragung in der GitHub Advisory Database bestätigt.
Wichtiger Kontext: unterschiedliche Risikobereiche
Administratoren sollten berücksichtigen, dass der aktuelle Patch-Release Schwachstellen mit unterschiedlicher Branch-Abdeckung umfasst. CVE-2026-97229 betrifft die Branches 19.2–19.4, während die zuvor offengelegte CVE-2026-85706 – eine andere kritische GitLab-Schwachstelle mit einer Bewertung von CVSS 10.0, durch die ein nicht authentifizierter Nutzer über die Commit-API beliebige Dateien lesen konnte – die Branches ab 18.7 bis 19.3 abdeckte. CVE-2026-85706 ist im CISA-KEV-Katalog mit Aufnahmedatum 11. September 2026 und Frist zur Behebung am 14. September 2026 aufgeführt, was auf eine bestätigte Ausnutzung in freier Wildbahn hinweist. Details zu dieser Schwachstelle sind im GitHub Advisory verfügbar, und wir haben bereits über diese Schwachstelle berichtet.
Das bedeutet, dass der Ansatz zur Behebung differenziert sein muss: Organisationen auf den Branches 18.7–19.1 sind möglicherweise nicht von CVE-2026-97229 betroffen, mussten CVE-2026-85706 jedoch bereits im September beheben. Organisationen auf den Branches 19.2–19.4 sind beiden Bedrohungen ausgesetzt.
Empfehlungen
- Aktualisieren Sie umgehend selbst gehostete GitLab-CE/EE-Instanzen auf die Versionen 19.4.2, 19.3.5 oder 19.2.8, abhängig vom verwendeten Branch. Informationen zum Patch finden Sie im offiziellen GitLab-Sicherheitshinweis.
- Überprüfen Sie die Konfigurationen der CI/CD-Pipelines auf verdächtige oder untypische Reguläre Ausdrücke – dies kann auf Versuche zur Ausnutzung von CVE-2026-97229 hindeuten.
- Führen Sie eine retrospektive Log-Analyse durch, insbesondere wenn Ihre Instanz aus dem Internet erreichbar war. Achten Sie auf ungewöhnliche Zugriffe auf die Commit-API (für CVE-2026-85706) sowie auf das Erstellen oder Ändern von CI/CD-Konfigurationen durch unbekannte Nutzer (für CVE-2026-97229).
- Falls die Instanz im Zeitraum vor Veröffentlichung des Patches auf einer verwundbaren Version lief und öffentlich erreichbar war, führen Sie eine Rotation der Secrets durch: Zugriffstoken, CI/CD-Umgebungsvariablen und Deployment-Keys.
- Kunden von GitLab.com und GitLab Dedicated müssen nach Angaben des ursprünglichen Sicherheitshinweises keine Maßnahmen ergreifen.
Zwei kritische Schwachstellen mit der maximalen Bewertung CVSS 10.0 in GitLab in den letzten zwei Monaten – CVE-2026-85706 im September und CVE-2026-97229 im Oktober – unterstreichen die Notwendigkeit eines schnellen Patch-Managements für selbst gehostete Instanzen. Vorrang haben ein sofortiges Update auf die korrigierten Versionen und eine retrospektive Überprüfung auf Anzeichen einer Kompromittierung, insbesondere für Server mit öffentlichem Zugriff.
