\u00dcber eine kritische GitLab-CVSS-10-L\u00fccke k\u00f6nnen nicht authentifizierte Angreifer beliebige Dateien von einem GitLab-Server auslesen. Der Hersteller hat bereits Patches ver\u00f6ffentlicht, doch schon wenige Stunden nach Bekanntwerden wurden erste Ausnutzungsversuche in freier Wildbahn registriert. Betroffen sind sowohl die Community- als auch die Enterprise-Edition.<\/p>\n
Die als CVE-2026-85706 gelistete Schwachstelle erreicht den maximalen CVSS-Score von 10.0. Sie ist eine Path-Traversal-Schwachstelle in der Repository-Commits-API, die es einem nicht authentifizierten Benutzer erlaubt, unter bestimmten Voraussetzungen beliebige Dateien vom GitLab-Server zu lesen. GitLab selbst nennt als Ursache eine unzureichende Pfadvalidierung und fehlende Authentifizierungspr\u00fcfung in der API.<\/p>\n
Die Schwachstelle erlaubt es externen Angreifern, \u00fcber manipulierte Pfadangaben aus der vorgesehenen Verzeichnisgrenze auszubrechen. So lassen sich Log-Dateien und GitLab-spezifische Konfigurationsdateien auslesen, die Anmeldedaten, Secrets und weitere vertrauliche Informationen enthalten. F\u00fcr die Ausnutzung gen\u00fcgt eine einzige Voraussetzung: Es muss mindestens ein \u00f6ffentliches Projekt auf der betroffenen Instanz existieren.<\/p>\n
Folgende Versionen von GitLab Community Edition (CE) und Enterprise Edition (EE) sind betroffen:<\/p>\n
Damit sind alle selbst gehosteten Installationen gef\u00e4hrdet, die sich in einem dieser Versionsbereiche befinden und noch kein Sicherheitsupdate eingespielt haben.<\/p>\n
Sicherheitsforscher von watchTowr, einem auf die Identifikation exponierter Systeme spezialisierten Unternehmen, haben bereits am 11. September 2026 um 06:00 Uhr UTC aktive Sondierungen in freier Wildbahn registriert. Damit liegen zwischen der Ver\u00f6ffentlichung der Sicherheitsupdates und den ersten beobachteten Angriffsversuchen nur wenige Stunden.<\/p>\n
Im Visier stehen dabei vor allem GitLab-Instanzen, die \u00fcber das Internet erreichbar sind. Gelingt die Ausnutzung, k\u00f6nnen Angreifer Log-Dateien und GitLab-spezifische Konfigurationsdateien auslesen und auf diese Weise an Zugangsdaten, Secrets und weitere vertrauliche Informationen gelangen. Dar\u00fcber hinaus bietet ein kompromittiertes GitLab die M\u00f6glichkeit, Schadcode in Build-Pipelines einzuschleusen und damit nachgelagerte Systeme zu infizieren oder zu manipulieren.<\/p>\n
Innerhalb weniger Wochen ist dies bereits die zweite kritische GitLab-Sicherheitsl\u00fccke, die aktiv angegriffen wird. Schon die GraphQL-Code-Injection CVE-2026-19478 war fast unmittelbar nach ihrer Ver\u00f6ffentlichung aktiv ausgebeutet worden. GitLab ist f\u00fcr Angreifer aus naheliegenden Gr\u00fcnden attraktiv: Ein erfolgreicher Zugriff offenbart Quellcode, CI\/CD-Secrets und Anmeldedaten. Zudem l\u00e4sst sich Schadcode in Build-Pipelines einschleusen, wodurch nachgelagerte Systeme kompromittiert oder manipuliert werden k\u00f6nnen.<\/p>\n
In den Versionen 19.3.2, 19.2.6 und 19.1.8 hat GitLab au\u00dferdem eine weitere kritische Schwachstelle behoben. Die unter CVE-2026-87719 bekannt gewordene L\u00fccke tr\u00e4gt einen CVSS-Score von 9.9 und betrifft ausschlie\u00dflich die Enterprise Edition (EE). Sie wird als unsichere Deserialisierung eingestuft und kann zur Offenlegung sensibler Informationen f\u00fchren.<\/p>\n
Konkret kann ein authentifizierter Benutzer mit Duo-Chat-Zugriff mithilfe eines speziell pr\u00e4parierten GraphQL-Subscription-Arguments die Serialisierung umgehen und auf dem Server gespeicherte Objekte auslesen. Dadurch lassen sich Konfigurationen der Advanced-Search-Instanz sowie sensible Zugangsdaten offenlegen. Da f\u00fcr diese Schwachstelle eine Authentifizierung erforderlich ist, ist die Angriffsfl\u00e4che etwas kleiner. Dennoch ist sie wegen der hohen Vertraulichkeit der betroffenen Daten als kritisch einzustufen.<\/p>\n
Betreiber selbst gehosteter GitLab-Instanzen sollten die f\u00fcr ihre Versionsreihe vorgesehenen Updates 19.3.2, 19.2.6 oder 19.1.8 so schnell wie m\u00f6glich einspielen. Ist ein Update kurzfristig nicht m\u00f6glich, sollte der \u00f6ffentliche Zugriff auf die GitLab-Instanz eingeschr\u00e4nkt werden, sofern dieser nicht zwingend erforderlich ist. Die Gefahr einer massenhaften und wahllosen Ausnutzung ist hoch, und das Zeitfenster f\u00fcr Gegenma\u00dfnahmen ist entsprechend klein.<\/p>\n
Zus\u00e4tzlich sollten Administratoren ihre Log-Dateien auf HTTP-POST-Anfragen an den Endpunkt \/api\/v4\/projects\/{id}\/repository\/commits\/ \u00fcberpr\u00fcfen, insbesondere auf Parameter wie file.Path. Solche Eintr\u00e4ge k\u00f6nnen erste Anzeichen f\u00fcr Ausnutzungsversuche sein.<\/p>\n
Die schnelle Aufeinanderfolge kritischer GitLab-Schwachstellen zeigt, dass Entwicklungswerkzeuge l\u00e4ngst im Fokus von Angreifern stehen. GitLab-Instanzen sind keine rein internen Systeme mehr, sondern oft direkt mit cloudbasierten CI\/CD-Umgebungen, Container-Registries und Deployment-Pipelines verbunden. Ein einziger Dateizugriff kann ausreichen, um eine gesamte Software-Lieferkette zu kompromittieren. Verantwortliche sollten das aktuelle Patchlevel nicht nur als Wartungsaufgabe betrachten, sondern als zentrale Sicherheitsma\u00dfnahme kontinuierlich \u00fcberwachen.<\/p>\n","protected":false},"excerpt":{"rendered":"
\u00dcber eine kritische GitLab-CVSS-10-L\u00fccke k\u00f6nnen nicht authentifizierte Angreifer beliebige Dateien von einem GitLab-Server auslesen. Der Hersteller hat bereits Patches ver\u00f6ffentlicht, doch schon wenige Stunden nach Bekanntwerden wurden erste Ausnutzungsversuche in freier Wildbahn registriert. Betroffen sind sowohl die Community- als auch die Enterprise-Edition. GitLab-CVSS-10-L\u00fccke: Kritische Path-Traversal-Schwachstelle in der Repository-Commits-API Die als CVE-2026-85706 gelistete Schwachstelle erreicht den […]<\/p>\n","protected":false},"author":5,"featured_media":54129,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/52145.png","fifu_image_alt":"GitLab-CVSS-10-L\u00fccke erlaubt Dateizugriff und zieht Angriffe an","footnotes":""},"categories":[6671],"tags":[],"class_list":["post-52145","post","type-post","status-publish","format-standard","has-post-thumbnail","category-scherheit"],"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/52145.png","fifu_image_alt":"GitLab-CVSS-10-L\u00fccke erlaubt Dateizugriff und zieht Angriffe an","_links":{"self":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/52145","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/comments?post=52145"}],"version-history":[{"count":1,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/52145\/revisions"}],"predecessor-version":[{"id":52151,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/52145\/revisions\/52151"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media\/54129"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media?parent=52145"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/categories?post=52145"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/tags?post=52145"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}