GitLab hat erneut dringende Sicherheitsupdates veröffentlicht, um eine kritische Schwachstelle im Regular-Expression-Compiler zu schließen. Die als CVE-2026-110264 eingestufte Lücke ermöglicht es nicht authentifizierten Angreifern, beliebigen Code auf verwundbaren GitLab-Instanzen auszuführen – ohne dass ein Benutzerkonto erforderlich ist. Angesichts der maximalen Schwere der Schwachstelle und der weiten Verbreitung der DevOps-Plattform ist sofortiges Patchen unerlässlich.
Integer-Überlauf im Regex-Compiler: Mechanismus der RCE-Lücke
Die Sicherheitslücke CVE-2026-110264 basiert auf einem Integer-Überlauf (CWE-190) im GitLab-eigenen Regular-Expression-Compiler. Diese Hintergrundkomponente ist dafür zuständig, reguläre Ausdrücke in Konfigurationsdateien zu parsen und zu validieren. Durch das Einschleusen eines speziell präparierten regulären Ausdrucks kann ein Angreifer den Überlauf auslösen und letztlich die Speicherintegrität derart verfälschen, dass eine Remotecodeausführung (RCE) möglich wird. Der Fehler wurde von dem Sicherheitsforscher „joaxcar“ im Rahmen des Bug-Bounty-Programms auf HackerOne gemeldet und betrifft sowohl die Community Edition (CE) als auch die Enterprise Edition (EE).
Betroffene Versionen und Patch-Übersicht
GitLab hat die Schwachstelle in einer Reihe von parallelen Release-Zweigen behoben. Alle Installationen, die eine der unten aufgeführten Versionen nutzen, sollten umgehend auf die entsprechende Patch-Version aktualisieren. GitLab.com selbst läuft bereits auf der abgesicherten Fassung; auch Kunden von GitLab Dedicated mit internen Builds ab 19.3.5-internal0 sind geschützt.
| Betroffene Versionen | Patch-Version (CE/EE) |
|---|---|
| 19.5.x | 19.5.1 |
| 19.4.x | 19.4.3 |
| 19.3.x | 19.3.6 |
| 19.2.x | 19.2.9 |
| 19.1.x | 19.1.9 |
| 19.0.x | 19.0.10 |
| 18.11.x | 18.11.13 |
GitLab betont ausdrücklich, dass alle von den genannten Schwachstellen betroffenen Instanzen unverzüglich auf die neueste verfügbare Version gehoben werden sollten. Das Unternehmen stellt die Updates für CE und EE auf den offiziellen Kanälen bereit.
Exponierte Systeme und aktuelle Bedrohungslage
Der Internet-Überwachungsdienst Shadowserver registriert derzeit mehr als 2.700 öffentlich erreichbare GitLab-Community-Edition-Instanzen. Wie viele davon tatsächlich verwundbar oder lediglich Honeypots sind, wird nicht präzise erfasst. Dennoch bleibt die Angriffsfläche signifikant, da ein unautorisierter Zugriff auf den Regex-Compiler ausreicht, um die Kontrolle über den Server zu übernehmen. Die jetzige Lücke ist nicht die erste ihrer Art: Bereits vor zehn Tagen warnte GitLab vor einer weiteren kritischen RCE-Schwachstelle (CVE-2026-97229, CVSS 10.0) im selben CI/CD-Regex-Compiler, die ebenfalls von „joaxcar“ entdeckt wurde.
Erst im Vormonat schloss GitLab mit CVE-2026-85706 einen maximal schwerwiegenden Path-Traversal-Fehler, der es nicht authentifizierten Angreifern erlaubte, sensitive Daten wie Anmeldeinformationen und Secrets von verwundbaren Servern auszulesen. Die US-amerikanische Cybersicherheitsbehörde CISA stufte diese Schwachstelle kurz darauf als aktiv ausgenutzt ein und ordnete die Sicherung aller Bundesbehörden innerhalb von drei Tagen an. Seit November 2021 hat CISA insgesamt fünf GitLab-Lücken in den Katalog bekannter ausgenutzter Sicherheitslücken aufgenommen – darunter eine, die bereits in Ransomware-Angriffen verwendet wurde.
Bedeutung für Unternehmen und Handlungsempfehlung
GitLabs DevSecOps-Plattform zählt weltweit über 30 Millionen registrierte Anwender und wird von mehr als der Hälfte der Fortune-100-Unternehmen eingesetzt – darunter Konzerne wie Nvidia, T-Mobile, Lockheed Martin, Airbus und Goldman Sachs. Gerade in Umgebungen mit vielen selbstverwalteten Instanzen und sensiblen CI/CD-Pipelines kann eine ungepatchte RCE-Lücke fatale Auswirkungen haben: von Datenkompromittierung über laterale Bewegung bis hin zur vollständigen Übernahme der Infrastruktur. Die wiederholten kritischen Funde im Regex-Compiler deuten auf eine systematische Angriffsfläche hin, die GitLab mit Priorität adressieren muss. Für IT-Verantwortliche gilt: Patch-Zyklen für GitLab-Instanzen sollten auf wenige Tage verkürzt werden, und öffentlich erreichbare Installationen sind idealerweise hinter einer Firewall oder einem Reverse-Proxy zu schützen.
Angesichts der jüngsten Serien von Critical-Security-Advisories ist absehbar, dass GitLab den Regex-Compiler grundlegend überarbeiten wird. Bis dahin bleibt die zeitnahe Installation der bereitgestellten Sicherheitsupdates der einzige zuverlässige Schutz gegen die aktuellen RCE-Angriffe. Alle Unternehmen, die GitLab CE oder EE selbst hosten, sollten noch heute ihre Version prüfen und auf eine der genannten Patch-Versionen aktualisieren.
