CVE-2026-85706
GitLab hat ein Problem in GitLab CE/EE behoben, das alle Versionen von 18.7 vor 19.1.8, 19.2 vor 19.2.6 und 19.3 vor 19.3.2 betrifft, bei dem unter bestimmten Bedingungen ein nicht authentifizierter Benutzer aufgrund unsachgemäßer Pfadbegrenzung und fehlender Authentifizierungsdurchsetzung in der repository commits API beliebige Dateien vom GitLab-Server hätte lesen können.
Aktiv ausgenutzt
- Seit dem 11.09.2026 im CISA-Katalog ausgenutzter Schwachstellen
- US-Bundesbehörden müssen sie bis zum 14.09.2026 beheben (BOD 22-01)
- Angegriffen 1 Tag bevor die Schwachstelle öffentlich wurde
- Durch Sensoren bestätigt, nicht nur durch Meldungen
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Quelle: CISA KEV · 27.10.2026 26.10.2026 25.10.2026 23.10.2026 22.10.2026 20.10.2026
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:NBetroffene Produkte
| Hersteller | Produkt | Versionen |
|---|---|---|
| gitlab | gitlab | < 18.11.12 |
Verwandte Artikel
GitLab schließt CI/CD-Lücke mit CVSS 10,0, die nicht authentifizierte Codeausführung auf Servern ermöglicht
GitLab schließt eine kritische CI/CD-Lücke, die nicht authentifizierte Codeausführung auf Servern ermöglichen könnte. Überblick zu Ursache und Updates.
FBI beschlagnahmt sieben Domains, die Scans und Malware-Aktivitäten von Flax Typhoon unterstützten
FBI beschlagnahmte laut US-Behörden sieben Domains, die MicroScan und FishHub für Scans und Malware-Aktivitäten von Flax Typhoon unterstützten.
GitLab schließt Sandbox-Ausbruch im AI Gateway, der die Ausführung von Befehlen ermöglicht
GitLab behebt CVE-2026-90970: Manipulierte Flow-Konfigurationen konnten die Template-Sandbox umgehen und Befehle auf selbst gehosteten Gateways ausführen.
Aktive Angriffe gefährden Zyxel-Switches und durch Veeam geschützte Windows-Endpunkte
Zyxel GS1900-Switches werden aktiv angegriffen (CVE-2026-7273). Plus Veeam Privilege Escalation. Jetzt Firmware-Updates prüfen und installieren.
Authentifizierungsfehler in der Cisco ISE API eröffnet Remote-Zugriff mit Root-Rechten
Kritische Cisco-ISE Zero-Day CVE-2026-76460 (CVSS 10) erlaubt Root-Zugriff ohne Login. Infos zu betroffenen Versionen, Patches und CISA-Frist.
Kritische ScreenConnect-Schwachstelle ermöglicht wurmartige Angriffe über aktive Remote-Sitzungen
Kritische ScreenConnect-Schwachstelle CVE-2026-84869 erlaubt wurmartige Angriffe via Remote-Sitzungen. Jetzt auf Build 26.6.5.9742 updaten.
GitLab-Lücke durch Pfad-Traversal in CISA-KEV aufgenommen – dreitägige Frist für den Patch
GitLab-Lücke CVE-2026-85706 ermöglicht Path-Traversal-Dateizugriff ohne Login. CISA fordert Patch bis 14.9.2026. Fix: 19.1.8, 19.2.6, 19.3.2.
Kritische GitLab-Lücke zum Lesen von Dateien innerhalb eines Tages nach Bekanntgabe des Patches ausgenutzt
Kritische GitLab-Lücke CVE-2026-85706 erlaubt Dateizugriff ohne Login und wird aktiv ausgenutzt. Betroffene Versionen sofort patchen und Logs prüfen.
This product uses the NVD API but is not endorsed or certified by the NVD.
Die technische Beschreibung ist unsere Übersetzung des englischen NVD-Originaltexts.