Softwareprojekte in Gefahr: BSI warnt vor laufenden Angriffen auf Gitlab
Für die Quellcodeverwaltungsplattform Gitlab sind Ende letzter Woche wichtige Sicherheitsupdates erschienen. Inzwischen hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) dazu eine Warnmeldung veröffentlicht(öffnet im neuen Fenster). Demnach wird mindestens eine mit den jüngsten Updates geschlossene Sicherheitslücke bereits aktiv ausgenutzt. Admins sollten ihre Gitlab-Instanzen also zügig aktualisieren.
Bei der aktiv ausgenutzten Lücke handelt es sich um CVE-2026-85706(öffnet im neuen Fenster). Sie erreicht den größtmöglichen CVSS-Wert von 10,0 und damit einen kritischen Schweregrad. Laut Beschreibung können Angreifer damit unter "bestimmten" aber nicht näher erläuterten Umständen beliebige Dateien von Gitlab-Servern auslesen.
Eine vorherige Authentifizierung ist für den Angriff nicht erforderlich. Ein einziger HTTP-Request an eine anfällige Gitlab-Instanz soll ausreichen, um geschützte Daten abzugreifen. Ursache ist den Angaben zufolge eine unzureichende Pfadbegrenzung (Path Traversal(öffnet im neuen Fenster)) sowie eine fehlende Authentifizierungsprüfung in Gitlabs Repository-Commits-API.
Admins müssen handeln
Sicherheitsforscher von Watchtowr hatten am vergangenen Wochenende erste Ausnutzungsversuche von CVE-2026-85706 beobachtet. Die Forscher warnen in einem Beitrag auf Linkedin(öffnet im neuen Fenster), dass Angreifer dadurch an Konfigurations- und Anmeldedaten sowie andere vertrauliche Informationen gelangen können, welche weiterführende Angriffe ermöglichen.
Als anfällig gelten sowohl die Community Edition (CE) als auch die Enterprise Edition (EE) von Gitlab in den Versionen 18.7 bis 19.1.7, 19.2 bis 19.2.5 und 19.3 bis 19.3.1. Patches hat Gitlab mit den Versionen 19.1.8, 19.2.6 und 19.3.2 bereitgestellt. Gitlab.com sowie die SaaS-Lösung Gitlab Dedicated sind nach Angaben des Betreibers bereits geschützt.
Admins sollten, wie in solchen Situationen üblich, zeitnah auf die gepatchten Versionen aktualisieren oder ihre Gitlab-Instanzen vorsorglich vom Netz nehmen. Zudem sollte nach der Aktualisierung nach Hinweisen auf eine möglicherweise bereits erfolgte Kompromittierung gesucht werden. Empfehlungen dazu sind in der Meldung des BSI (PDF)(öffnet im neuen Fenster) zu finden.
Weitere geschlossene Gitlab-Lücken
Die jüngsten Gitlab-Updates(öffnet im neuen Fenster) adressieren neben der bereits genannten Path-Traversal-Lücke noch andere gefährliche Sicherheitslücken. Dazu zählt etwa CVE-2026-87719(öffnet im neuen Fenster), welche ebenfalls einen kritischen Schweregrad erreicht und das Ausleiten von Konfigurations- und Zugangsdaten in Verbindung mit Advanced Search(öffnet im neuen Fenster) ermöglicht. In diesem Fall muss ein Angreifer aber authentifiziert sein und auf den Duo-Chat zugreifen können.
Sechs weitere von Gitlab geschlossene Lücken erreichen einen hohen, neun einen mittleren und eine einen niedrigen Schweregrad. Insgesamt hat das Unternehmen also mit den letzten Updates 18 Sicherheitslücken adressiert.
Nachtrag vom 15. September 2026, 12:57 Uhr
Laut einem Mastodon-Beitrag des Cert-Bund(öffnet im neuen Fenster) sind in Deutschland aktuell rund 3.150 über das Internet erreichbare Gitlab-Instanzen anfällig für CVE-2026-85706. Diese sollen ab heute über die jeweiligen Netzbetreiber informiert werden. Weitere 1.640 Instanzen sind den Angaben zufolge sogar noch über CVE-2026-19478 angreifbar – eine Lücke, die schon seit August aktiv ausgenutzt wird.
- Anzeige Hier geht es zum Handbuch für Softwareentwickler bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.