LONDON (IT BOLTWISE) – GitLab hat mehrere Sicherheitslücken gepatcht, darunter eine Schwachstelle mit CVSS 10.0. Sie betrifft die Repository-Commits-API und kann laut GitLab unter bestimmten Bedingungen das unautorisierte Lesen beliebiger Dateien von einem GitLab-Server ermöglichen. Schon Stunden nach der öffentlichen Offenlegung melden sich offenbar erste Angriffsversuche aus der Praxis. Zusätzlich schließt GitLab einen weiteren kritischen Bug in der Enterprise-Edition (CVSS 9.9), der zu Informationsabfluss führen kann.
GitLab schließt nach einer öffentlichen Offenlegung gleich mehrere Lücken, und bei der wichtigsten handelt es sich um einen Fehler, der in der Praxis besonders schnell verwertbar ist: CVE-2026-85706 (CVSS 10.0). Der Kern liegt in einer Path-Traversal-Schwachstelle in der Repository-Commits-API. Unter bestimmten Bedingungen kann ein nicht authentifizierter Angreifer dadurch beliebige Dateien vom GitLab-Server auslesen. GitLab beschreibt die Ursache als „improper path confinement and missing authentication enforcement“ in dieser API, also als unzureichende Pfad-Eingrenzung bei gleichzeitiger fehlender Authentifizierungsdurchsetzung.
Entscheidend für die Dringlichkeit ist, wie rasch das Thema nach draußen „in-the-wild“ auftaucht. Eine auf Expositions- und Angriffsbeobachtung spezialisierte Firma meldet aktive Sondierungen bereits seit 06:00 UTC am 11. September 2026. Betroffen sind nach den vorliegenden Angaben vor allem selbst verwaltete GitLab-Installationen, die ohne ausreichende Schutzmaßnahmen dem Internet ausgesetzt sind. Laut der Expositionsbeobachtung ermöglicht die Schwachstelle, Log-Dateien und gitlabspezifische Konfigurationsdateien auszulesen, um dadurch Zugangsdaten, Secrets und weitere sensible Informationen zu gewinnen.
Technisch betrachtet verschiebt sich das Risiko bei einem „File-Read“-Bug deutlich gegenüber klassischen Webfehlern. Sobald ein Angreifer interne Logik oder Konfigurationsdateien extrahieren kann, wird daraus schnell mehr als nur Informationsabfluss: Die gestohlenen Konfigurationsdaten können Credentials für nachgelagerte Systeme enthalten und so die Angriffsfläche in Richtung CI/CD verlagern. GitLab ist gerade deshalb interessant, weil viele Teams dort Source Code, Pipeline-Konfigurationen und damit auch die Grundlage für Build- und Deployment-Automatisierung bündeln. Wer diese Kette kompromittieren kann, kann Code in Build-Pipelines einschleusen oder zumindest die Umgebung für nachgelagerte Schritte manipulieren.
Für die Patch-Planung liefert GitLab klare Versionsfenster, die man nicht „überblicken“ sollte. Laut Angaben sind alle Versionen der Community Edition (CE) und Enterprise Edition (EE) betroffen ab 18.7 bis vor 19.1.8, ab 19.2 bis vor 19.2.6 sowie ab 19.3 bis vor 19.3.2. Das bedeutet in der Praxis: Wer „irgendwie aktuell“ ist, aber noch in diesen Spannen hängt, bleibt potenziell verwundbar. Hinzu kommt, dass es sich laut der Beobachter nicht um ein isoliertes Ereignis handelt, sondern um die zweite kritisch priorisierte GitLab-Lücke in kurzer Zeit. Zuvor war bereits eine GraphQL-Code-Injection (CVE-2026-19478) mit schneller Ausnutzbarkeit aufgefallen, was die Aufmerksamkeit der Verteidigungsteams spürbar erhöht hat.
Auch die zweite gemeldete Schwachstelle spielt in die gleiche Risikoachse hinein, nur mit anderem technischen Mechanismus. GitLab hat zudem einen kritischen Deserialisierungsfehler in der Enterprise-Edition behoben: CVE-2026-87719 (CVSS 9.9). Dabei geht es um die Möglichkeit, dass ein authentifizierter Angreifer mit „Duo Chat“-Zugriff über ein speziell konstruiertes GraphQL-Subscription-Argument Informationen wie Advanced-Search-Instanzkonfigurationen und sensible Credentials abziehen kann. Dass die Lücke „nur“ Authentifizierung voraussetzt, ist im Alltag trotzdem relevant: In vielen Organisationen sind interne Rollen, Freigaben und Tool-Zugriffe real vorhanden, während ein vollständiger Schutz durch Segmentierung nicht immer konsequent umgesetzt ist.
Aus Sicht der Abwehrmaßnahmen rückt damit ein zweistufiges Vorgehen in den Vordergrund. Zuerst gilt: Patches zeitnah einspielen und im Zweifel die öffentliche Erreichbarkeit reduzieren, bis die Korrekturen vollständig gerollt sind. GitLab empfiehlt für selbst gehostete Instanzen, die direkt ins Internet exponiert sind, eine schnelle Aktualisierung oder die Einschränkung des öffentlichen Zugriffs. Parallel schlägt die erwähnte Beobachterfirma vor, Logdaten gezielt zu prüfen: Besonders relevant sind HTTP-POST-Anfragen an URIs wie „/api/v4/projects/{id}/repository/commits/“ mit enthaltenen „file.Path“-Parametern, weil solche Muster auf Ausnutzungsversuche hindeuten können.
Für Betreiber heißt das außerdem, dass „Update“ allein nicht die komplette Antwort ist. Wenn ein Angreifer bereits Daten ausgelesen hat, sind Credentials und Secrets potenziell kompromittiert, selbst wenn der Patch die Lücke später schließt. Dann wird Incident Response zu einem praktisch wichtigen Teil des Change-Prozesses: betroffene Tokens rotieren, Zugriffspfade überprüfen, CI/CD-Jobs und Build-Artefakte auf unerwartete Änderungen untersuchen und schließlich die eigene Expositionslage (Firewall-Regeln, Reverse-Proxy-Policies, Rate Limits) gegen API-basierte Angriffe härten. Aus der Praxis heißt es außerdem, dass sich die Ausnutzung solcher CVSS-10-Lücken häufig von gezielten Sondierungen zu breiteren Versuchen entwickeln kann; entsprechend eng ist die Zeitachse zwischen „Patch verfügbar“ und „Risiko steigt wieder“.
Zum Verständnis, warum gerade die Repository-Commits-API so schnell in den Fokus geraten kann, hilft ein Blick auf die Angreiferperspektive: Schon minimale Voraussetzungen können reichen, wenn es eine leicht programmierbare Angriffsoberfläche gibt und das Ziel intern oft intensiv genutzt wird. Laut Jake Knott, Head of Threat Intelligence bei watchTowr, gilt als Ausnutzungslogik: „Exploitation requires just one requirement, at least one public project must exist.“ Er betont außerdem, dass GitLab durch unautorisierte Zugriffe nicht nur Quellcode erreichbar mache, sondern auch CI/CD-Keys, Credentials sowie die Möglichkeit zur Manipulation von Build-Pipelines – und damit potenziell alles, was danach kommt. Für Teams in der Umsetzung bedeutet das: Schutzkonzept und Patch-Zyklus müssen gerade bei Plattformen mit Build-Automation besonders eng getaktet sein.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "GitLab behebt CVSS-10-Path-Traversal in Repository-Commits-API" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "GitLab behebt CVSS-10-Path-Traversal in Repository-Commits-API" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »GitLab behebt CVSS-10-Path-Traversal in Repository-Commits-API« bei Google Deutschland suchen, bei Bing oder Google News!