// HEISE ONLINE — CYBERSECURITY
Sicherheitslücken: GitLab-Entwickler raten zu zügigem Update
Die Softwareentwicklungsumgebung GitLab ist verwundbar. Reparierte Ausgaben lösen mehrere Sicherheitsprobleme.
This article is also available in
English.
It was translated with technical assistance and editorially reviewed before publication.
Um möglichen Attacken vorzubeugen, sollten Admins von On-Premise-GitLab-Installation zeitnah die aktuellen Sicherheitsupdates installieren. Andernfalls sind Instanzen über 13 Schwachstellen angreifbar. Noch sind keine laufenden Attacken bekannt.
Die GitLab-Entwickler versichern, dass die GitLab-Community- und GitLab-Enterprise-Edition-Versionen 19.2.1, 19.1.3 und 19.0.5 gegen die folgenden Angriffe gerüstet sind. Wer die Softwareentwicklungsumgebung über GitLab.com nutzt, muss nicht tun, da dort bereits die abgesicherten Versionen laufen, führen die Entwickler aus. Auch wenn es noch keine dokumentierten Angriffe gibt, raten sie zu einem zügigen Update.
Wie aus der Warnmeldung hervorgeht, sind drei Sicherheitslücken (CVE-2026-6267, CVE-2026-12436, CVE-2026-15975) mit dem Bedrohungsgrad „hoch“ eingestuft. Setzen Angreifer erfolgreich an diesen Schwachstellen an, können sie unbefugt sensible Informationen einsehen, CI/CD-Konfigurationen verbiegen und Dienste über DoS-Attacken abstürzen lassen. Für die beiden ersten Fälle muss ein Angreifer aber bereits authentifiziert sein.
Setzen Angreifer an den verbleibenden Lücken an, können sie unter anderem auf Zugangsdaten zugreifen (CVE-2026-16553 „mittel“) oder eigenen JavaScript-Code ausführen (CVE-2026-3093 „mittel“). Wie Attacken im Detail ablaufen könnten, ist derzeit nicht bekannt. Unklar bleibt auch, woran Admins bereits erfolgreich attackierte Systeme erkennen können.
Weiterhin haben die Entwickler in den aktuellen Ausgaben noch verschiedene Fehler ausgebügelt und Komponenten aktualisiert. So haben sie etwa PostgreSQL in Version 17.10 implementiert. Weiterführende Informationen dazu finden sich im Changelog.
Sicherheitslücken in GitLab sorgen immer wieder für Schlagzeilen. Etwa im März dieses Jahres wurden Schwachstellen geschlossen, über die Angreifer unter anderem die Authentifizierung hätten schwächen können.
Ob Sicherheitslücken, Viren oder Trojaner – alle sicherheitsrelevanten Meldungen gibts bei heise security
Ausführliche Informationen zum Versandverfahren und zu Ihren
Widerrufsmöglichkeiten erhalten Sie in unserer
Datenschutzerklärung.