// HEISE ONLINE — CYBERSECURITY
Sicherheitslücke mit maximalem Schweregrad bedroht GitLab
Angreifer können an mehreren Schwachstellen in GitLab Community Edition und Enterprise Edition ansetzen.
Aufgrund von teils schwerwiegenden Sicherheitslücken raten die GitLab-Entwickler Nutzern zu einem zügigen Update. Geschieht das nicht, können Angreifer Instanzen mit Schadcode attackieren. Sicherheitspatches schaffen Abhilfe.
In einer Warnmeldung versichern die Entwickler, die Lücken in GitLab 19.2.8, 19.3.5 und 19.4.2 geschlossen zu haben. Auf GitLab.com sollen bereits reparierte Versionen laufen. Kunden von GitLab Dedicated müssen ebenfalls nicht aktiv werden, Admins selbst betriebener Instanzen dagegen sofort. Bislang hat der Softwarehersteller keine Attacken auf die Schwachstellen kommuniziert.
Als am gefährlichsten gilt eine „kritische“ Lücke mit maximalem CVSS-Score 10 von 10 (CVE-2026-97229). Daran können Angreifer ohne Authentifizierung ansetzen und mit einem präparierten regulären Ausdruck in einer CI/CD-Konfiguration Schadcode auf GitLab-Servern ausführen. Schuld daran ist ein Integer Overflow im Regex-Compiler von GitLab CI/CD, weil reguläre Ausdrücke unzureichend validiert werden.
Fünf weitere Lücken sind mit dem Bedrohungsgrad „hoch“ eingestuft. An diesen Stellen können Angreifer unter anderem für XSS-Attacken (CVE-2026-92883) ansetzen oder als Nutzer mit Developer-Rolle unerlaubt CI/CD-Pipelines auf geschützten Branches ausführen (CVE-2026-16301).
Ob Sicherheitslücken, Viren oder Trojaner – alle sicherheitsrelevanten Meldungen gibts bei heise security
Ausführliche Informationen zum Versandverfahren und zu Ihren
Widerrufsmöglichkeiten erhalten Sie in unserer
Datenschutzerklärung.
Immer informiert bleiben: Klicken Sie auf das Plus-Symbol an einem Thema, um diesem zu folgen. Wir zeigen Ihnen alle neuen Inhalte zu Ihren Themen.
Mehr erfahren.