GitLab-Lücken: BSI warnt Admins vor aktiver Ausnutzung

Nur wenige Tage nach der Veröffentlichung eines Patches für 18 Schwachstellen in GitLab beobachten Sicherheitsforscher erste Angriffsversuche. Betroffen sind sowohl die Community- als auch die Enterprise-Edition. Das BSI rät zu zeitnahem Handeln.

GitLab hat am 10. September 2026 ein Sicherheitsupdate veröffentlicht, das insgesamt 18 Schwachstellen in der gleichnamigen DevOps-Plattform schließt. Laut CVSS-Bewertung gelten davon zwei als kritisch, sechs als hoch, neun als mittel und eine als niedrig eingestuft. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt nun in einem aktuellen IT-Sicherheitshinweis, dass Angreifer bereits kurz nach Bekanntwerden der Lücken aktiv geworden sind.

Path Traversal mit Höchstwertung

Besonders brisant ist eine als CVE-2026-85706 geführte Path-Traversal-Schwachstelle, die mit dem höchstmöglichen CVSS-Wert von 10,0 bewertet wurde. Ursache sind laut BSI eine unzureichende Pfadbeschränkung sowie eine fehlende Authentifizierung im Zusammenhang mit der Repository-Commits-API. Nicht authentifizierte Angreifer könnten die Lücke aus der Ferne ausnutzen, um Informationen von verwundbaren Systemen auszulesen. Nach vorliegenden Berichten reicht dafür bereits ein einzelner HTTP-Request aus.

Betroffen sind sowohl die Community- als auch die Enterprise-Edition in sämtlichen Versionen vor 19.1.8, vor 19.2.6 sowie vor 19.3.2, ebenso alle Versionen des 18.7-Zweigs.

Eine zweite kritische Lücke, CVE-2026-87719 (CVSS 9,9), betrifft ausschließlich die Enterprise-Edition. Hier ermöglicht eine unsichere Deserialisierung in GraphQL authentifizierten Angreifern mit Zugriff auf den Duo Chat, über die erweiterte Suche Zugangsdaten und weitere Informationen zu stehlen.

Erste Angriffe binnen weniger Tage

GitLab selbst hatte die Lücken im Rahmen des regulären Patchzyklus geschlossen, ohne zunächst Hinweise auf eine Ausnutzung zu vermelden. Über das vergangene Wochenende häuften sich jedoch die Warnsignale: Das IT-Sicherheitsunternehmen watchTowr meldet bereits Angriffsversuche auf GitLab-Instanzen, und die US-Cybersicherheitsbehörde CISA hat die Schwachstelle inzwischen in ihren Katalog bekannter, aktiv ausgenutzter Sicherheitslücken (KEV) aufgenommen. Parallel dazu kursieren im Netz bereits erste Proof-of-Concept-Exploits.

Das BSI warnt, dass das kurze Zeitfenster zwischen Veröffentlichung und ersten Angriffsberichten vielen Betreibern kaum Gelegenheit gegeben haben dürfte, die Patches rechtzeitig einzuspielen. Das könnte, so die Behörde, dazu führen, „dass viele dieser Angriffsversuche erfolgreich sind“. GitLab selbst spricht in seinem Advisory nur von einer Ausnutzbarkeit „unter bestimmten Bedingungen“, spezifiziert diese aber nicht näher. Das BSI geht deshalb vorsorglich davon aus, dass eine größere Zahl exponierter Systeme potenziell angreifbar ist.

Was Admins jetzt tun sollten

GitLab stellt Patches für alle betroffenen Versionen bereit; Workarounds nennt der Hersteller nicht. IT-Verantwortliche sollten die Updates daher umgehend einspielen. Wer öffentlich erreichbare GitLab-Instanzen betreibt, sollte diese laut BSI grundsätzlich mit besonderer Priorität patchen, da sensible Repository-Inhalte solche Systeme zu attraktiven Angriffszielen machen.

Da bislang noch keine belastbaren Kompromittierungsindikatoren vorliegen, empfiehlt watchTowr, in den eigenen Logs gezielt nach verdächtigen HTTP-POST-Anfragen an den Endpunkt /api/v4/projects/{id}/repository/commits/ sowie nach auffälligen file.path-Parametern zu suchen.

Das BSI weist zudem darauf hin, dass nicht nur die beiden kritischen Lücken Beachtung verdienen: Auch die als hoch oder mittel eingestuften der insgesamt 18 Schwachstellen könnten von Angreifern für eigene Zwecke missbraucht werden. Betreiber sollten daher das komplette Update-Paket installieren und die Lage in den kommenden Tagen weiter beobachten.

(red)