LONDON (IT BOLTWISE) – GitLab fordert Betreiber von selbst gehosteten GitLab-Instanzen auf, eine maximale Path-Traversal-Schwachstelle mit der Kennung CVE-2026-85706 umgehend zu schließen. Betroffen sind fehlerhafte Zugriffskontrollen in der Repository-Commits-API, wodurch Angreifer unter Bedingungen beliebige Dateien auslesen können. Parallel hat GitLab auch eine zweite kritische Lücke (CVE-2026-87719) nachgebessert, die auf eine unsichere Deserialisierung im GraphQL-Subscription-Serializer zurückgeht. Empfohlen wird ein Upgrade auf GitLab CE/EE 19.3.2, 19.2.6 oder 19.1, wobei GitLab.com bereits aktualisiert ist.
GitLab erhöht den Druck auf Administratoren von selbst gehosteten GitLab-Installationen: Das Unternehmen empfiehlt ein sofortiges Upgrade, nachdem eine Schwachstelle mit maximaler Schwere bei CVE-2026-85706 bekannt wurde. Technisch handelt es sich um eine Path-Traversal-Lücke, deren Kern in einer fehlenden sauberen Pfad-Eingrenzung (Path Confinement) sowie in nicht konsequent durchgesetzten Authentifizierungsregeln in der Repository-Commits-API liegt. Laut GitLab können unauthetisierte Angreifer unter bestimmten Bedingungen von einem betroffenen Server willkürlich ausgewählte Dateien auslesen.
Dass ausgerechnet der Commits-Zugriffsbereich betroffen ist, ist für die Praxis heikel: Viele Teams nutzen GitLab nicht nur zur Verwaltung von Repositories, sondern auch als Drehkreuz für Automatisierungen und Integrationen, bei denen APIs standardmäßig erreichbar bleiben. Wenn Authentifizierung nicht bis auf die konkrete Endpunkt-Logik sauber „durchgereicht“ wird, reicht im schlimmsten Fall bereits die Kenntnis bestimmter Parameter oder Konstellationen. Für die Sicherheitslage bedeutet das: Selbst wenn die eigentliche Commit-Ansicht im UI geschützt wirkt, kann eine API-Routenimplementierung im Hintergrund eine andere Sicherheitsannahme verwenden.
GitLab nennt für die schnelle Abhilfe konkrete Versionen: Die Fixes werden in GitLab Community Edition (CE) und Enterprise Edition (EE) mit den Releases 19.3.2, 19.2.6 und 19.1 bereitgestellt. Wer noch ältere Versionen einsetzt, sollte nicht auf „allmähliches Nachziehen“ setzen, sondern die Aktualisierung in den nächsten Wartungsfensterplan aufnehmen. GitLab stellt zudem klar, dass GitLab.com bereits auf die gepatchte Version umgestellt ist und Dedicated-Kunden keine Aktion benötigen. Für Organisationen mit eigenen Runner- und Deployment-Pipelines ist das ein relevanter Hebel, weil GitLab selbst im Lebenszyklus der Software steht und ein Update daher oft automatisierbar ist – aber eben nur, wenn man die Versionsführung sauber betreibt.
Nicht nur die Path-Traversal-Lücke steht im Fokus. GitLab hat gestern auch eine zweite kritische Schwachstelle adressiert: CVE-2026-87719, die aus einer unsicheren Deserialisierung im GraphQL-Subscription-Serializer resultiert. Bei dieser Klasse von Fehlern wird besonders problematisch, wenn serverseitig Datenstrukturen nach dem Prinzip „nicht vertrauen, aber verarbeiten“ in Objektgraphen umgewandelt werden, obwohl der Inhalt potenziell von Angreifern kontrolliert wird. Laut GitLab betrifft CVE-2026-87719 GitLab EE und ermöglicht authentifizierten Nutzern mit Duo Chat-Zugriff, sensible Zugangsdaten sowie Konfigurationen einer Advanced-Search-Instanz zu stehlen.
Damit zeichnet sich ein wiederkehrendes Muster ab: GitLab musste bereits in der Vergangenheit maximale Path-Traversal-Schwachstellen schließen. Im Mai 2023 adressierte das Unternehmen CVE-2023-2825, das ebenfalls sensible Daten wie proprietären Quellcode, Benutzeranmeldedaten, Tokens und Dateien auf nicht gepatchten Servern offenlegen konnte. Ein Jahr später stellten CISA und FBI in ihrer Kommunikation heraus, dass Path-Traversal-Sicherheitslücken aus Produkten entfernt werden sollten, und verwiesen dabei darauf, dass solche Schwächen seit mindestens 2007 als „unverzeihlich“ bezeichnet werden. In der Zusammenschau ist das weniger ein Zufall einzelner Bugs, sondern eher ein Hinweis darauf, wie anspruchsvoll es in der Praxis bleibt, Dateipfade, Zugriffspfade und Autorisierungslogik über alle API-Ebenen konsistent zu implementieren.
Für die operative Sicherheit heißt das: Patch-Management muss hier mit einer Überprüfung der tatsächlichen Angriffsflächen zusammenspielen. Gerade GraphQL-Subscriptions und API-Endpunkte sind oft schwerer zu scannen als klassische REST-Routen, weil Clients unterschiedliche Query- und Subscription-Formate nutzen. Ergänzend kommt hinzu, dass GitLab im Januar außerdem eine High-Severity-Lücke zum Bypass der Zwei-Faktor-Authentifizierung geschlossen hat, die Community- und Enterprise-Editionen betrifft und es Angreifern ermöglicht, die Zwei-Faktor-Prüfung zu umgehen, wenn ihnen die Account-ID des Ziels bekannt ist. Zusammen mit den Hinweisen, dass CISA seit November 2021 mehrere GitLab-Schwachstellen als in Angriffen ausgenutzt markiert hat, wird deutlich, dass die Priorität nicht allein aus der CVSS-Zahl entsteht, sondern aus der Wahrscheinlichkeit aktiver Ausnutzung.
Auch für Unternehmen mit DevSecOps-Teams ist die Nachricht eindeutig: Wenn ein Toolchain-Knoten wie GitLab selbst angreifbar wird, verschiebt sich das Risiko entlang der gesamten Lieferkette. Die Plattform hat mehr als 30 Millionen registrierte Nutzer und wird von über 50% der Fortune-100-Unternehmen eingesetzt, darunter große Namen aus Industrie und Finanzwesen wie Nvidia, Airbus, T-Mobile, Lockheed Martin, Goldman Sachs und UBS. Für Administratoren bedeutet das, dass die nächsten Schritte nicht nur „Upgrade installieren“ heißen sollten, sondern auch einen kontrollierten Betriebstest: nach dem Deployment Konfigurationen und API-Zugriffe verifizieren, Logdaten auf auffällige Pfad-/GraphQL-Muster prüfen und die Versionsstände aller selbst gehosteten Instanzen – einschließlich Staging- und Disaster-Recovery-Systeme – konsistent halten.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "GitLab schließt kritische Path-Traversal- und weitere Sicherheitslücken – sofort patchen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "GitLab schließt kritische Path-Traversal- und weitere Sicherheitslücken – sofort patchen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »GitLab schließt kritische Path-Traversal- und weitere Sicherheitslücken – sofort patchen« bei Google Deutschland suchen, bei Bing oder Google News!