Schadcode-Attacken möglich: Angreifer können Gitlab-Instanzen kapern
Gitlab hat in den Community- und Enterprise-Editionen seiner Quellcodeverwaltungssoftware mehrere gefährliche Sicherheitslücken geschlossen(öffnet im neuen Fenster). Angreifer können damit unter anderem Schadcode auf anfällige Gitlab-Instanzen schleusen und zur Ausführung bringen. Administratoren sollten selbst gehostete Systeme zügig absichern, um diese vor möglichen Angriffen zu schützen.
Zwei der jüngst gepatchten Sicherheitslücken, CVE-2026-93577(öffnet im neuen Fenster) und CVE-2026-89078(öffnet im neuen Fenster), sind als kritisch eingestuft und erreichen jeweils einen CVSS-Wert von 9,9. Beide ermöglichen es Angreifern, durch die Übergabe speziell gestalteter regulärer Ausdrücke auf anfälligen Github-Servern beliebigen Code auszuführen.
Die Ursachen der beiden Lücken unterscheiden sich. Eine basiert auf einer doppelten Speicherfreigabe(öffnet im neuen Fenster) ("Double Free"), die andere auf einem Integer-Überlauf(öffnet im neuen Fenster). In beiden Fällen ist für die Ausnutzung eine Authentifizierung erforderlich. Diese dürfte sich auf vielen Gitlab-Systemen aber leicht beschaffen lassen, insbesondere wenn diese so konfiguriert sind, dass sie eine offene Registrierung ermöglichen.
Mögliche Codeausführung im Browser
Neben den beiden kritischen Lücken schloss Gitlab mit seinen jüngsten Updates neun weitere Sicherheitslücken. Zwei davon erreichen einen hohen, fünf einen mittleren und zwei einen niedrigen Schweregrad. Erwähnenswert ist noch CVE-2026-84739(öffnet im neuen Fenster): Damit können Angreifer laut Gitlab mittels XSS (Cross-site Scripting) Javascript-Code innerhalb der Browser-Session anderer Nutzer zur Ausführung bringen.
Fälle einer aktiven Ausnutzung einer der elf Sicherheitslücken sind bisher nicht bekannt. Frühere Angriffswellen auf die Software zeigten aber, dass unter Cyberkriminellen großes Interesse daran besteht, Gitlab-Instanzen zu infiltrieren. Auch in Deutschland werden Tausende solcher Systeme betrieben.
Gitlab empfiehlt Administratoren, die verfügbaren Patches auf selbst gehosteten Instanzen schnellstmöglich einzuspielen. Als geschützt gelten alle CE- und EE-Versionen ab 19.4.1, 19.3.3 und 19.2.7. Wer Gitlab über Gitlab.com oder die SaaS-Lösung Gitlab Dedicated nutzt, muss nicht tätig werden. Diese Plattformen aktualisierte der Anbieter bereits.
- Anzeige Hier geht es zum Handbuch für Softwareentwickler bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.