GitLab schliesst CVSS-10.0-Luecke waehrend CISA die Bundesfrist auf heute setzt

GitLab hat Notfall-Patches fuer CVE-2026-85706 veroeffentlicht, eine Path-Traversal-Schwachstelle mit CVSS-Score 10.0 in der Repository-Commits-API, die nicht authentifizierten Angreifern erlaubt, beliebige Dateien von betroffenen Self-Managed-Instanzen zu lesen — darunter SSH-Schluessel, CI/CD-Secrets, Deploy-Tokens und Cloud-Zugangsdaten.

Die Schwachstelle entsteht durch fehlerhafte Pfadbeschraenkung und fehlende Authentifizierungspruefung im Endpoint fuer Repository-Commits. Einzige Voraussetzung ist mindestens ein oeffentliches Projekt auf der Instanz — eine Bedingung, die die grosse Mehrheit der GitLab-Deployments in Open-Source-Teams und Unternehmen erfuellt.

Ausnutzung begann am selben Tag, an dem CISA die Luecke listete

GitLab legte die Schwachstelle am 10. September 2026 offen und veroeffentlichte gleichzeitig Patches. Die US-amerikanische Cybersecurity- und Infrastruktursicherheitsbehoerde CISA nahm CVE-2026-85706 am 11. September in ihren Katalog bekannter und ausgenutzter Schwachstellen (KEV) auf — dem Tag, an dem auch die ersten internetweiten Scans begannen.

Bundesbehoerden der zivilen Exekutive (FCEB) muessen gemaess CISA Binding Operational Directive 26-04 bis zum 14. September 2026 — also heute patchen. Die Behoerde hat zudem eine forensische Ueberpruefung betroffener Systeme angeordnet und erkennt damit an, dass einige Instanzen moeglicherweise bereits vor dem Patchen kompromittiert wurden.

Was ausgelesen werden kann und warum das wichtig ist

Eine erfolgreiche Ausnutzung ermoeglicht den Zugriff auf GitLab-Log-Dateien und Konfigurationsdateien wie gitlab.rb, die typischerweise Datenbankzugangsdaten, Secret-Keys, SMTP-Passwoerter, Cloud-Speicher-Credentials und Integrations-Tokens enthalten. In CI/CD-lastigen Umgebungen sind auch Projektvariablen und Runner-Registrierungstoken gefaehrdet.

Eine zweite in derselben Version behobene Schwachstelle, CVE-2026-87719 (CVSS 9.9), betrifft Insecure Deserialization in GitLab Enterprise Edition. Organisationen, die EE einsetzen, sollten beide Luecken gleich dringend behandeln.

Wer betroffen ist und was zu tun ist

Alle Community- und Enterprise-Edition-Versionen von 18.7 vor 19.1.8, von 19.2 vor 19.2.6 und von 19.3 vor 19.3.2 sind anfaellig. Die GitLab-Patches — Versionen 19.3.2, 19.2.6 und 19.1.8 — schliessen beide Luecken.

Organisationen, die nicht sofort patchen koennen, sollten den oeffentlichen Zugriff auf ihre Self-Hosted-Instanzen einschraenken und nicht authentifizierte Anfragen an den Commits-API-Endpoint auf Netzwerkebene blockieren. Nach dem Patchen sollten Sicherheitsteams alle Zugangsdaten rotieren, die in exponierten Konfigurationsdateien gespeichert gewesen sein koennten, wie The Hacker News berichtete.