LONDON (IT BOLTWISE) – GitLab hat am 2. Oktober 2026 die Schwachstelle CVE-2026-90970 im AI Gateway behoben, bewertet mit 9,9 von 10. Dabei kann ein authentifizierter Nutzer mit Zugriff auf Duo Agent Platform die Prompt-Template-Sandbox umgehen und Befehle auf dem Gateway ausführen. Betroffen sind vor allem Betreiber, die das AI Gateway selbst hosten. Für Nutzer von GitLab.com und GitLab Dedicated entfällt laut Hersteller eine Aktion, weil dort das Gateway bereits geschützt ist.
GitLab hat die Sicherheitslücke CVE-2026-90970 im AI Gateway geschlossen, und die Meldung kommt mit einer außergewöhnlich hohen Bewertung: 9,9 von 10. Das AI Gateway ist das zentrale Bauteil, das die KI-Funktionen von GitLab Duo erst nutzbar macht. Im Kern beschreibt die Schwachstelle einen Escape aus einer isolierten Umgebung, in der das Gateway Text für das nachgelagerte Sprachmodell zusammensetzt. Wenn diese Schutzschicht kippt, lässt sich das Verhalten der KI-gestützten Agenten nicht mehr nur mit “Prompt-Text” steuern, sondern unter Umständen in Richtung Systemkommandos lenken.
Technisch verknüpft GitLab das AI Gateway mit Duo Agent Platform: Teams bauen und betreiben Agenten über eine Flow-Konfiguration. In bestimmten Fällen kann ein Angreifer mit gültigem Account und genau der passenden Berechtigung die Flow-Definition so präparieren, dass die Prompt-Template-Sandbox nicht eingehalten wird. Diese Sandbox ist der Teil, der eigentlich verhindern soll, dass Inhalte, die als Text gedacht sind, vom System als Anweisung interpretiert werden. GitLab ordnet die Ursache dabei dem CWE-1336 zu, das allgemein “improper neutralization of special elements in template engines” adressiert – also dem klassischen Risiko, dass Template-Ausdrücke oder Sonderelemente nicht korrekt als reiner Text behandelt werden.
Für Betreiber ist dabei entscheidend, wie der Hersteller und die ergänzende Sicherheitsberichterstattung die Angriffsbedingungen einordnen. Laut den zugrunde liegenden Beschreibungen liegt der Fokus auf einem netzwerkreichbaren Angriff mit niedriger Komplexität, der vor allem wenig Privilegien benötigt und keine Benutzerinteraktion erfordert. Ein Administrator-Level scheint nicht erforderlich zu sein, sondern es genügt ein authentifizierter Nutzer mit Zugang zu Duo Agent Platform. Da diese Plattform in der Breite eher von vielen Entwicklern genutzt wird, steigt mit der Zahl der Accounts auch die Wahrscheinlichkeit, dass im eigenen Setup ein passender Einstiegspunkt existiert.
Die betroffenen Versionen folgen GitLabs eigener Nummerierung für das AI Gateway. Je nach Major- und Minor-Version ergibt sich ein anderes Updateziel: Für “18.1.6 bis 19.2.3” sowie “19.2.3 bis 19.2.4” nennt GitLab als Fix die Version 19.2.4; für “19.3.0 bis 19.3.1” ist 19.3.2 die relevante Zielversion, und für die 19.4.x-Linie ist 19.4.1 das Update. Entscheidend ist die Betriebsform: Wer das AI Gateway selbst installiert und intern betreibt (self-hosted), muss nachziehen. Dagegen sind GitLab.com, GitLab Dedicated und GitLab Self-Managed Instanzen, die mit einem von GitLab gehosteten Gateway verbunden sind, nach Herstellerangaben bereits geschützt; dort besteht laut dieser Einordnung kein unmittelbarer Handlungsbedarf.
Ob und in welchem Umfang die Lücke bereits ausgenutzt wurde, wird in der Meldung ebenfalls adressiert, allerdings ohne Entwarnung. In der CVE-Akte wurde am 2. Oktober eine Einschätzung mit “none” zur Ausnutzung aufgeführt. Eine konkrete Attack-Chain veröffentlicht GitLab nicht, und die in der Meldung referenzierten Quellen nennen ebenfalls keinen vollständigen technischen Ablauf. Als Auslöser der Meldung wird ein Forscher genannt, der unter dem Namen invisiblemeerkat auf der HackerOne-Plattform aktiv ist; gleichzeitig bleibt offen, ob weitere Details später nachgereicht werden. Bis belastbare Indikatoren für kompromittierte Gateways vorliegen, sollten Betreiber deshalb primär von einem potenziell verwertbaren Risiko ausgehen.
Für die Gegenmaßnahmen ergibt sich daraus eine pragmatische Reihenfolge. Zuerst gilt: Prüfen, ob das AI Gateway im eigenen Betrieb wirklich selbst gehostet wird, und welche Version läuft. Liegt sie im angegebenen Korridor, ist das Update auf 19.2.4, 19.3.2 oder 19.4.1 die direkte Abhilfe. Parallel lohnt eine Rechte-Härtung: Wenn Duo Agent Platform aktuell nur von einem kleinen Team gebraucht wird, kann der Zugriff für andere Accounts temporär entzogen werden, bis die betroffene Version ausgerollt ist. Das ist zwar keine offizielle Empfehlung des Herstellers, aber es reduziert die Zahl möglicher Einstiegspunkte in Minuten und damit die Angriffsfläche spürbar.
Die Meldung ist außerdem ein weiteres Beispiel für ein wiederkehrendes Muster in KI-Workflows: Ein Bauteil, das Texte für ein Modell zusammenstellt und dabei Agenten startet, funktioniert in der Praxis wie ein “Interpreter” für nutzergesteuerte Ausdrücke. Wenn dabei Sonderzeichen, Template-Felder oder Metasprache nicht sauber getrennt werden, können aus scheinbar harmlosen Eingaben potenziell steuernde Anweisungen werden. GitLab verweist in der Berichterstattung zudem auf eine ähnliche Schwachstelle aus Februar 2026 (CVE-2026-1868) mit ähnlicher Bewertung, die ebenfalls den Template-Engine-Kontext betraf. Wer Agenten-Systeme betreibt, sollte daher nicht nur das Gateway selbst im Blick behalten, sondern auch die umgebende Infrastruktur, über die Agenten-Kontext aufgebaut wird, weil sich dort die Angriffsfläche indirekt vergrößern kann.
Für die nächste Wartungsrunde heißt das: Patch-Disziplin bei KI-nahem “Execution”-Code muss genauso ernst genommen werden wie bei klassischen Pipeline-Komponenten oder bei Integrationen, die Befehle aus Konfigurationsdaten ableiten. Der konkrete Hebel ist diesmal klar umrissen – Versionen prüfen, auf die genannten Fix-Releases aktualisieren, dann Berechtigungen für Duo Agent Platform reduzieren. Selbst ohne bestätigte Ausnutzung ist die Kombination aus hoher CVSS-Bewertung, Authenticated-Access und dem beschriebenen Escape-Szenario ein Signal, dass Sicherheitskonzepte rund um Template-Verarbeitung in AI-Agent-Umgebungen operativ überprüft werden sollten.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "GitLab schließt CVE-2026-90970: RCE-Risiko im KI-Gateway" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "GitLab schließt CVE-2026-90970: RCE-Risiko im KI-Gateway" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »GitLab schließt CVE-2026-90970: RCE-Risiko im KI-Gateway« bei Google Deutschland suchen, bei Bing oder Google News!