GitLab schließt kritische Sicherheitslücke mit CVSS 10.0 in den Versionen 19.4.2, 19.3.4 und 19.2.8

12. Oktober 2026Quelle: GitLab

GitLab hat die kritischen Patch-Versionen 19.4.2, 19.3.4 und 19.2.8 für die Community Edition und die Enterprise Edition veröffentlicht. Sie beheben eine mit CVSS 10.0 bewertete Schwachstelle, über die ein nicht authentifizierter Nutzer beliebigen Code auf dem Server ausführen könnte. Das Unternehmen empfiehlt dringend, alle selbst betriebenen Installationen umgehend zu aktualisieren.

Das Wichtigste in Kürze

GitLab hat am 12. Oktober 2026 die Patches 19.4.2, 19.3.4 und 19.2.8 für CE und EE veröffentlicht.
CVE-2026-97229 ist mit CVSS 10.0 bewertet und könnte über einen präparierten regulären Ausdruck in CI/CD die Codeausführung ohne Authentifizierung ermöglichen.
Das Release behebt außerdem fünf Schwachstellen mit hohem Schweregrad, darunter eine in der GitLab Duo Agent Platform.
GitLab.com ist bereits gepatcht, Dedicated-Kunden müssen nicht handeln; selbst betriebene Installationen sollten sofort aktualisiert werden.
Version 19.3.4 hat einen bekannten Fehler bei Merge-Request-Seiten mit aktivierter Ona-Integration, der in 19.3.5 behoben werden soll.

Die kritische Lücke: Codeausführung über reguläre Ausdrücke in CI/CD

Die schwerwiegendste Korrektur betrifft CVE-2026-97229, einen Integer-Overflow im Compiler für reguläre Ausdrücke in CI/CD. Laut GitLab hätte dies unter bestimmten Bedingungen einem nicht authentifizierten Nutzer ermöglicht, über einen speziell präparierten regulären Ausdruck in einer CI/CD-Konfiguration beliebigen Code auf dem GitLab-Server auszuführen. Ursache war eine unzureichende Validierung regulärer Ausdrücke.

Die Schwachstelle hat einen CVSS-Wert von 10.0. Betroffen sind GitLab CE/EE ab Version 19.2 vor 19.2.8, ab 19.3 vor 19.3.4 und ab 19.4 vor 19.4.2. GitLab dankte dem Sicherheitsforscher joaxcar, der die Lücke über das Bug-Bounty-Programm des Unternehmens bei HackerOne gemeldet hatte.

Fünf schwere Schwachstellen und zahlreiche weitere Korrekturen

Die Release-Tabelle führt eine kritische, fünf hohe, vierzehn mittlere und vier niedrige Korrekturen auf. Zu den Schwachstellen mit hohem Schweregrad zählen:

CVE-2026-92883: eine Cross-Site-Scripting-Lücke bei der Syntaxhervorhebung (CVSS 8.7), über die ein authentifizierter Nutzer mithilfe eines präparierten Repositorys beliebiges JavaScript in den Browsersitzungen anderer Nutzer ausführen könnte.
CVE-2026-16301: eine fehlerhafte Autorisierung im Dienst zur Erstellung von Downstream-Pipelines (CVSS 8.5), durch die ein Nutzer mit der Rolle Developer ohne Berechtigung CI/CD-Pipelines auf geschützten Branches ausführen könnte.
CVE-2026-14814: ein zu permissiver regulärer Ausdruck beim Dateizugriff auf Repositorys (CVSS 8.2), der das Einschleusen manipulierter Inhalte in den Cache für Rohdateien von Repositorys ermöglichen und dadurch geschützte Umgebungsvariablen offenlegen könnte.
CVE-2026-81839: eine fehlerhafte Autorisierung in der Richtlinie zur geplanten Pipeline-Ausführung (CVSS 7.7), die nur GitLab EE betrifft.
CVE-2026-96893: eine unzureichende Neutralisierung von Eingaben in der GitLab Duo Agent Platform (CVSS 7.3), ebenfalls nur in GitLab EE. Laut GitLab könnte ein authentifizierter Nutzer präparierte Inhalte in Anweisungen von KI-Agenten einschleusen und so unbeabsichtigte Befehlsausführungen verursachen, die anderen Nutzern zugeschrieben würden. Entdeckt wurde die Lücke nach Angaben des Unternehmens intern von Teammitglied Mert Coskuner.

Die Korrekturen mittleren Schweregrads betreffen unter anderem GitLab Pages, den Kubernetes-Proxy, mehrere GraphQL-Endpunkte, die Paket-Registry, benutzerdefinierte Rollen sowie ein zweites Problem in der Duo Agent Platform. Durch die Pages-Lücke CVE-2026-101168 hätte ein authentifizierter Nutzer mit Zugriff auf Protokolldaten Zugriffstoken und andere Geheimnisse auslesen können.

Wer handeln muss, und ein bekanntes Problem

GitLab zufolge läuft GitLab.com bereits mit der gepatchten Version, und Kunden von GitLab Dedicated müssen nichts unternehmen. Gefährdet sind selbst betriebene Installationen, die so schnell wie möglich auf eine der gepatchten Versionen wechseln sollten.

Das Unternehmen nennt zudem ein bekanntes Problem: Version 19.3.4 enthält einen Fehler, der die Merge-Request-Seiten betrifft, wenn die Ona-Integration aktiviert ist. Eine Korrektur ist für 19.3.5 vorgesehen.

GitLab weist darauf hin, dass Sicherheitskorrekturen in Patch-Releases veröffentlicht werden. Diese erscheinen entweder planmäßig am zweiten und vierten Mittwoch jedes Monats oder als außerplanmäßige kritische Patches für Schwachstellen mit hohem Schweregrad. Die Tickets zu den einzelnen Sicherheitskorrekturen werden 90 Tage nach dem Release, das sie behoben hat, im Issue-Tracker öffentlich gemacht.

Was das für Administratoren bedeutet

Da die am höchsten bewertete Lücke keine Authentifizierung erfordert und drei aktuelle Release-Linien betrifft, haben Administratoren selbst betriebener Instanzen mit 19.2, 19.3 oder 19.4 mit 19.2.8, 19.3.4 oder 19.4.2 einen klaren Update-Pfad. Teams mit 19.3 sollten den Ona-Integrationsfehler berücksichtigen, falls sie diese Funktion nutzen. Mehrere der übrigen Schwachstellen betreffen auch ältere Versionen, bei der Pages-Lücke reicht der Kreis teils bis zurück zu 12.0. GitLab rät Kunden, stets die neueste Patch-Version ihrer unterstützten Version einzusetzen.