LONDON (IT BOLTWISE) – GitLab hat mehrere Sicherheitslücken gepatcht, darunter eine Schwachstelle mit CVSS 10,0 (CVE-2026-85706), die bereits innerhalb von Stunden nach der Veröffentlichung von Angreifern abgefragt wurde. Betroffen sind bestimmte GitLab-CE/EE-Versionen; der Fehler liegt im Repository-Commits-API-Kontext und kann unter Bedingungen auch ohne Authentifizierung beliebige Dateien auslesen. Zusätzlich behebt GitLab eine kritische Insecure-Deserialization-Lücke (CVE-2026-87719, CVSS 9,9), die mit einem Duo-Chat-Zugriff und einem speziell konstruierten GraphQL-Argument Server-Infos und Credentials offenlegen kann. Betreiber selbst gehosteter GitLab-Instanzen, die ins Internet zeigen, sollen die Updates zeitnah einspielen oder die öffentliche Erreichbarkeit reduzieren.
GitLab liefert mit einem aktuellen Security-Update gleich mehrere Fixes nach, weil eine der gemeldeten Schwachstellen laut den Angaben des Herstellers bereits sehr schnell von Angreifern getestet wurde. Im Zentrum steht CVE-2026-85706 mit einem CVSS-Score von 10,0: Dabei handelt es sich um ein Path-Traversal-Problem im Bereich der Repository-Commits-API. Unter bestimmten Bedingungen kann ein unautorisierter Akteur beliebige Dateien vom GitLab-Server lesen. GitLab beschreibt als Ursache „improper path confinement and missing authentication enforcement in the repository commits API“ – also eine unzureichende Eingrenzung erlaubter Pfade und eine fehlende konsequente Authentifizierungsprüfung innerhalb dieser API.
Die betroffenen Versionen sind dabei klar umrissen: Für GitLab Community Edition (CE) und Enterprise Edition (EE) gilt, dass alle Versionen ab 18.7 bis vor 19.1.8, ab 19.2 bis vor 19.2.6 sowie ab 19.3 bis vor 19.3.2 anfällig sind. Für Betreiber ist das wichtig, weil es weniger um eine „Patch-Generalumgehung“ geht, sondern um eine präzise Risikoklasse, die sich über die Release-Linien hinweg abgrenzen lässt. Praktisch bedeutet das: Wer beispielsweise noch auf einer 19.3-Version vor 19.3.2 läuft, muss nicht nur nachsehen, ob ein Fix überhaupt vorhanden ist, sondern auch im eigenen Change-Prozess genau diese Version anheben. Gerade in Unternehmen, die GitLab als Dreh- und Angelpunkt für Repositories, CI/CD und Secrets nutzen, kann ein schneller Rollback-Plan entscheidend sein.
Besonders kritisch ist die zeitliche Komponente: Laut watchTowr werden die Schwachstellenversuche bereits seit 06:00 UTC am 11. September 2026 beobachtet. Die Firma sieht die Angriffe so, dass sie externe Angreifer in die Lage versetzen, Logdateien und GitLab-spezifische Konfigurationsdateien auszulesen. Das kann in der Folge helfen, Credentials, Secrets und weitere sensible Informationen zu ermitteln. Jake Knott, head of threat intelligence bei watchTowr, fasst die Lage in einer Aussage zusammen: „This is the second instance of a critical severity GitLab vulnerability in recent weeks, following the previous GraphQL code injection (CVE-2026-19478) that was almost immediately actively exploited, “ so Knott. In derselben Stellungnahme ergänzt er: „Exploitation requires just one requirement, at least one public project must exist.“ Die von ihm skizzierte Angriffslogik ist vor allem für Teams relevant, die öffentliche Projekte außerhalb geschlossener Umgebungen betreiben oder testweise offen lassen.
Technisch lässt sich aus der beschriebenen Schwachstellenklasse ableiten, warum solche Fehler schnell eskalieren können: Wenn eine API zwar „wie ein Dateizugriff“ wirkt, aber Pfade nicht korrekt konfrontiert (Path Confinement) und zusätzlich Authentifizierung nicht sauber erzwingt, verschiebt sich die Sicherheitsgrenze vom Projektkontext auf die Server-Dateisystemlogik. Genau hier setzen die beobachteten Suchanfragen an, um über manipulierte Pfadparameter nicht nur harmlose Inhalte zu erhalten, sondern auch Material, das für weitere Angriffe nutzbar ist – beispielsweise Konfigurationen oder Logs, in denen Tokens, interne Endpunkte oder Build-bezogene Informationen auftauchen können. watchTowr betont in diesem Zusammenhang auch den „Appeal“ von GitLab: Unautorisierter Zugriff könne Code, CI/CD-Secrets und Credentials liefern und Angriffe bis in Build-Pipelines ermöglichen oder zumindest dort weitere Schritte nachladen.
GitLab patcht zudem eine zweite kritische Schwachstelle: CVE-2026-87719 mit CVSS 9,9 ist eine Insecure-Deserialization-Lücke in GitLab EE, die zu Informationsoffenlegung führen kann. Auch hier benennt der Hersteller den Mechanismus: Ein authentifizierter Nutzer mit Duo-Chat-Zugriff soll mittels eines speziell konstruierten GraphQL-Subscription-Arguments Serverobjekte auslesen und so Advanced-Search-Instanzkonfigurationen sowie sensible Credentials erhalten können. Das ist ein Muster, das man in der Praxis regelmäßig in „API- und Query-spezifischen“ Fehlerbildern sieht: Selbst wenn ein System an anderer Stelle sauber serialisiert oder deserialisiert, kann eine einzelne GraphQL-Verarbeitungsstrecke eine ungünstige Annahme über Datenstrukturen treffen. Für die Abwehr heißt das, dass reine „Netzwerk- und Session“-Kontrollen allein nicht reichen; Entscheidend ist, dass die betroffenen Komponenten auch wirklich aktualisiert werden.
Für Organisationen mit selbst gehosteten GitLab-Instanzen, die ins Internet zeigen, lautet die klare Handlungsanweisung: Patches zeitnah einspielen oder – falls nicht erforderlich – die öffentliche Zugänglichkeit reduzieren. Aus der Sicht der Incident Response empfiehlt sich zudem ein kurzes, zielgerichtetes Log-Audit. watchTowr schlägt dafür vor, insbesondere nach HTTP-POST-Anfragen an URIs wie „/api/v4/projects/{id}/repository/commits/“ zu suchen, wobei „file.Path“-Parameter enthalten sind. Ergänzend kann man die eigenen Expositionsannahmen prüfen: Wenn öffentliche Projekte tatsächlich existieren, steigt die Wahrscheinlichkeit, dass Such- und Probe-Requests automatisch weiterlaufen. Je schneller sich diese Indikatoren abschneiden lassen, desto geringer ist das Zeitfenster für die nächste Angriffsphase.
Der wiederkehrende Charakter solcher Vorfälle ist außerdem ein Markt- und Architekturhinweis: Tooling-Plattformen wie GitLab sind in vielen Firmen nicht nur ein Versionsarchiv, sondern auch ein zentraler Steuerknoten für Automatisierung. Sicherheitsfixes wirken dadurch nicht nur auf „Schutz im Browser“, sondern auf die gesamte Lieferkette von CI/CD bis hin zu Deployment-Artefakten. Dass watchTowr zudem mit einer möglichen Beschleunigung Richtung „mass exploitation“ rechnet und daraus eine zeitnahe Reaktionsnotwendigkeit ableitet, passt zu dem, was in der Praxis häufig nach Disclosure-Events zu beobachten ist: Sobald ein Exploit-Pattern zuverlässig funktioniert, skaliert das Scanning. Für IT- und Security-Teams bedeutet das, dass Update-Fähigkeit (Patch-Management, Testumgebungen, Rollout-Strategien) und Detektionsfähigkeit (API-spezifische Anomalien in Logs) zusammen gedacht werden sollten.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "GitLab schließt CVE-2026-85706 mit CVSS 10, aktive In-the-Wild-Probes" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "GitLab schließt CVE-2026-85706 mit CVSS 10, aktive In-the-Wild-Probes" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »GitLab schließt CVE-2026-85706 mit CVSS 10, aktive In-the-Wild-Probes« bei Google Deutschland suchen, bei Bing oder Google News!