LONDON (IT BOLTWISE) – GitLab hat Patches für mehrere Schwachstellen veröffentlicht, darunter CVE-2026-85706 mit CVSS 10.0. Die Lücke nutzt eine fehlerhafte Pfad-Eingrenzung und fehlende Authentifizierungsdurchsetzung in der Repository-Commits-API, wodurch ein Angreifer unter bestimmten Bedingungen beliebige Dateien lesen kann. Nach Angaben von watchTowr werden bereits Stunden nach der Veröffentlichung aktiv ausnutzende Sondierungen beobachtet. Betreiber von GitLab-Instanzen, die öffentlich erreichbar sind, sollen die Updates schnell einspielen oder die öffentliche Sichtbarkeit reduzieren.
GitLab reagiert mit mehreren Security-Patches auf eine neue Schwachstellenserie, bei der insbesondere CVE-2026-85706 mit CVSS 10.0 ins Gewicht fällt. Die Ursache liegt nach Angaben des Herstellers in einer Kombination aus „improper path confinement“ und fehlender Authentifizierungskontrolle in der Repository-Commits-API. Praktisch bedeutet das: Ein unauthentifizierter Angreifer könnte unter bestimmten Voraussetzungen Dateizugriffe abseits der erwarteten Pfade auslösen und so etwa Protokolldateien sowie GitLab-spezifische Konfigurationsdateien auslesen. Genau solche Informationen sind für Angreifer wertvoll, weil sie häufig Credentials, Secrets und weitere sensible Daten enthalten.
Für die Sicherheitsplanung ist vor allem die betroffene Versionen-Kette relevant. GitLab nennt als betroffene Releases in der Community Edition (CE) und Enterprise Edition (EE) „alle Versionen von 18.7 bis vor 19.1.8“, „alle Versionen von 19.2 bis vor 19.2.6“ sowie „alle Versionen von 19.3 bis vor 19.3.2“. Damit wird klar, dass nicht nur eine einzelne Hotfix-Version, sondern ganze Wartungszweige adressiert werden. Für Teams, die GitLab selbst hosten, ist das ein unmittelbarer Betriebsauftrag: Version prüfen, Rollout-Fenster festlegen und Abhängigkeiten im CI/CD-Prozess gegen Latenzen oder Abwärtsinkompatibilitäten abgleichen.
Laut watchTowr werden bereits am 11. September 2026 ab 06:00 UTC aktive In-the-Wild-Probes beobachtet. Die Firma beschreibt, dass externe Angreifer die Lücke nutzen könnten, um Logdateien und GitLab-Konfigurationsdateien zu exfiltrieren und dadurch an weitere Zugänge zu gelangen. Jake Knott, Head of Threat Intelligence bei watchTowr, ordnet das Risiko in eine größere Angriffslogik ein: „This is the second instance of a critical severity GitLab vulnerability in recent weeks, following the previous GraphQL code injection (CVE-2026-19478) that was almost immediately actively exploited.“ In derselben Einordnung betont er auch den geringen Angriffsaufwand: „Exploitation requires just one requirement, at least one public project must exist.“ Wichtig ist hier nicht nur die Schwere, sondern auch der Zeitfaktor: Wenn Sondierungen binnen Stunden einsetzen, bleibt für viele Organisationen weniger Zeit für koordinierte Incident-Response-Schleifen.
Technisch liegt der Fokus bei CVE-2026-85706 auf dem Zusammenspiel aus Pfadtraversal und Authentifizierungsdurchsetzung. In REST-/API-Komponenten entsteht dieses Klassenproblem oft dann, wenn ein Parameter zwar syntaktisch verarbeitet wird, aber bei der Auflösung in Dateisystempfade keine robuste Eingrenzung gegenüber „Base Directory“-Grenzen erfolgt und gleichzeitig eine Autorisierung nicht konsequent greift. Im GitLab-Kontext kommt hinzu, dass Repo-bezogene APIs ein besonders sensibles Umfeld sind: Über Repository-Commits lassen sich Metadaten und in bestimmten Fällen Folgeinformationen erschließen, die wiederum zu weiteren Angriffsschritten führen können. Von dort ist es für Angreifer oft nur ein logischer Schritt zu Zugangsdaten in CI/CD, etwa durch Auslesen von Konfigurationsdateien oder durch das Vorbereiten späterer Code- oder Pipeline-Manipulationen.
Neben der 10,0er Schwachstelle hat GitLab außerdem einen zweiten kritischen Bug adressiert: CVE-2026-87719 (CVSS 9.9), ein Problem in GitLab EE im Bereich unsichere Deserialisierung. Auch hier geht es um Informationsabfluss: Laut Hersteller könnte ein authentifizierter Nutzer mit Duo-Chat-Zugriff mithilfe eines speziell konstruierten GraphQL-Subscription-Arguments Serialisierungspfade umgehen, um serverseitige Objekt-Checks zu überwinden und so Advanced-Search-Instanzkonfigurationen sowie sensible Credentials zu erhalten. Für Unternehmen heißt das: Nicht nur öffentliche GitLab-Instanzen sind betroffen, sondern je nach Deployment auch Nutzerrollen und Funktionszugänge sollten nach dem Patchen neu bewertet werden, etwa durch gezielte Tests der betroffenen GraphQL-Flows.
Für die Praxis empfiehlt GitLab, dass Organisationen ihre selbst gehosteten GitLab-Instanzen, wenn sie ins Internet exponiert sind, die Patches „as soon as possible“ einspielen oder die öffentliche Zugänglichkeit einschränken, falls sie nicht zwingend benötigt wird. Ergänzend nennt watchTowr als Indikator-Hypothese eine konkrete Log-Überprüfung: HTTP-POST-Anfragen auf URIs im Muster „/api/v4/projects/{id}/repository/commits/“ mit einem „file.Path“-Parameter. Dieses Vorgehen passt zu einem typischen Incident-Workflow, weil es sowohl nach aktiven Angriffsspuren sucht als auch nach der Wahrscheinlichkeit, dass Exfiltration oder Folgeausnutzung bereits gestartet haben. Insgesamt zeigt die Kombination aus CVE-2026-85706 und CVE-2026-87719, dass GitLab in jüngster Zeit vermehrt angreifbare Oberflächen für unautorisierte oder falsch autorisierte Eingaben unter die Lupe nehmen musste – und dass Verteidiger ihre Patch-Disziplin und Monitoring-Abdeckung zeitnah verschärfen sollten.
Der wichtigste betriebliche Hebel liegt damit nicht in spekulativen Gegenmaßnahmen, sondern in der Reihenfolge: erstens betroffene Versionen identifizieren und aktualisieren, zweitens Zugriffsflächen reduzieren (zum Beispiel öffentliche Projekte/Endpoints, soweit produktionsseitig möglich), und drittens Logs auf passende Parameter-Spuren und Muster prüfen. Je schneller das passiert, desto geringer wird der Zeitraum, in dem Angreifer aus bereits laufenden Sondierungen in echte Datenabflüsse übergehen. Im Idealfall koppeln Teams diese Maßnahmen an einen kurzfristigen Sicherheitstest ihrer CI/CD-Kette, weil die Folgen erfolgreicher Dateiexfiltration in Software-Delivery-Setups typischerweise nicht beim Dateisystem enden, sondern sich in Secrets, Build-Variablen und Pipeline-Schritten fortsetzen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "GitLab-Fix gegen CVE-2026-85706: CVSS 10.0 liest Dateien über Repository-Commits-API" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "GitLab-Fix gegen CVE-2026-85706: CVSS 10.0 liest Dateien über Repository-Commits-API" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »GitLab-Fix gegen CVE-2026-85706: CVSS 10.0 liest Dateien über Repository-Commits-API« bei Google Deutschland suchen, bei Bing oder Google News!