GitLab: CVE-2026-19478 wenige Tage nach der Veröffentlichung aktiv ausgenutzt

Die GitLab-Schwachstelle CVE-2026-19478 wurde bereits wenige Tage nach ihrer öffentlichen Veröffentlichung bei Angriffen in freier Wildbahn beobachtet. Die Erkennung erfolgte am 21. August 2026 durch watchTowr, das Angriffsversuche gegen das eigene Honeypot-Netzwerk feststellte.

Das Unternehmen erklärte, die Schwachstelle wenige Minuten nach der Veröffentlichung reproduziert zu haben. Der Fehler ermöglicht es einem entfernten, nicht authentifizierten Angreifer, auf öffentlich zugängliche GitLab-Projekte zuzugreifen und diese zu manipulieren – ohne Zugangsdaten und ohne Interaktion der Benutzer.

Code-Injection über GraphQL

Die Schwachstelle betrifft eine GraphQL-Direktive und wird als Code-Injection gemäß CWE-94 eingestuft. Unter bestimmten Bedingungen kann eine speziell präparierte Anfrage das Ändern oder Löschen von Projekten und zugehörigen Daten ermöglichen.

Die von der NVD veröffentlichte Beschreibung bestätigt, dass der Angriff aus der Ferne gegen öffentliche Projekte und Benutzerdaten ausgeführt werden kann. Es sind keine vorherigen Berechtigungen erforderlich, und die Angriffskomplexität wird als niedrig eingestuft.

Der CVSS-v3-Score beträgt 9,4:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:H

Die Vertraulichkeit ist mit einer geringen Auswirkung bewertet, während Integrität und Verfügbarkeit stark beeinträchtigt werden. Praktisch könnte ein Angreifer Inhalte und Konfigurationen verändern oder zentrale Komponenten der Projekte un verfügbar machen.

Gelöschte Repositorys und gefälschte Merge-Einträge

Laut watchTowr beschränken sich die Folgen nicht auf die Änderung einzelner Daten. Eine erfolgreiche Ausnutzung kann unter anderem Folgendes ermöglichen:

• das Löschen kompletter Repositorys;
• die Manipulation von Projektdaten;
• die Fälschung von Merge-Einträgen;
• das Entfernen oder Sperren von Maintainerinnen und Maintainers;
• das scheinbare Integrieren eines Fixes, der tatsächlich nie angewendet wurde.

Die Fälschung von Merge-Einträgen ist besonders kritisch, da sie das Vertrauen in Entwicklungsprozesse beeinträchtigen kann. Ein Projekt könnte eine Änderung als bereits integriert anzeigen, obwohl der korrigierte Code tatsächlich weder angewendet noch überprüft wurde.

Betroffen sind insbesondere aus dem Internet erreichbare Instanzen mit öffentlichen Repositorys und extern zugänglichen GraphQL-Funktionen. Eine bestimmte kriminelle Gruppe wurde für die beobachteten Angriffe nicht genannt.

Betroffene GitLab-Versionen

Betroffen sind sowohl GitLab Community Edition (CE) als auch Enterprise Edition (EE).

Betroffen sind folgende Versionen:

• Zweig 18.2, Releases vor 18.11.11;
• Zweig 19.0, Releases vor 19.0.8;
• Zweig 19.1, Releases vor 19.1.6;
• Zweig 19.2, Releases vor 19.2.4.

GitLab hat die Schwachstelle in folgenden Versionen behoben:

• 18.11.11;
• 19.0.8;
• 19.1.6;
• 19.2.4.

Administratoren sollten den verwendeten Zweig prüfen und das entsprechende Release installieren, statt sich ausschließlich an der Hauptversionsnummer zu orientieren. Eine Instanz, die auf ein Release vor der Fehlerbehebung aktualisiert wurde, bleibt gefährdet.

Die schnelle Ausnutzung verkürzt das Zeitfenster für Gegenmaßnahmen

Die von watchTowr beobachtete Abfolge zeigt, dass zwischen der Veröffentlichung und den Ausnutzungsversuchen nur sehr wenig Zeit lag. Jake Knott, Principal Security Researcher des Unternehmens, brachte diese Geschwindigkeit mit dem Einsatz von Werkzeugen und Prozessen in Verbindung, die durch künstliche Intelligenz unterstützt werden.

Dabei handelt es sich um eine Beobachtung zur Beschleunigung offensiver Aktivitäten, nicht um die Zuordnung zu einem bestimmten Akteur. Operativ ist die Schlussfolgerung jedoch eindeutig: Nach der Veröffentlichung technischer Details kann das Zeitfenster für Sicherheitsupdates sehr kurz sein.

Nach den verfügbaren Informationen ist die Schwachstelle nicht im CISA-KEV-Katalog aufgeführt. Eine entsprechende CISA-Frist gibt es daher nicht. Das Fehlen im Katalog mindert jedoch nicht die Dringlichkeit: Eine Ausnutzung in freier Wildbahn wurde von watchTowr direkt beobachtet.

GitLab aktualisieren und Protokolle prüfen

Die wichtigste Maßnahme besteht darin, CE- oder EE-Instanzen auf die passenden Versionen zu aktualisieren: 18.11.11, 19.0.8, 19.1.6 oder 19.2.4, abhängig vom installierten Zweig.

Falls ein sofortiges Update nicht möglich ist, empfiehlt GitLab eine der folgenden Mitigationsmaßnahmen:

• den nicht authentifizierten Zugriff auf den Endpoint /api/graphql beschränken;
• den Zugriff auf öffentliche Repositorys vollständig deaktivieren.

Diese Maßnahmen reduzieren die Angriffsfläche, ersetzen jedoch nicht die Korrektur der Software. Nach dem Update sollte geprüft werden, ob temporäre Einschränkungen erst dann aufgehoben werden, wenn das Risiko tatsächlich beseitigt ist.

Organisationen, die die Patches noch nicht eingespielt haben, sollten ihre Webserver-Logs auf Anfragen mit folgendem Inhalt untersuchen:

@gl_introduced

Die Überprüfung sollte auch Hinweise auf Scans, Probing und Ausnutzungsversuche umfassen. Kürzlich vorgenommene Änderungen an Repositorys, Projektdaten, Merge-Einträgen und Maintainer-Berechtigungen sollten abgeglichen werden.

Nicht autorisierte Änderungen, verschwundene Repositorys, entfernte Maintainer oder unerwartete Merges erfordern eine Überprüfung der betroffenen Konten, Anwendungsprotokolle und Backups. Bei verdächtigen Änderungen reicht es nicht aus, nur das Repository wiederherzustellen: Auch Metadaten, Berechtigungen und die Operationshistorie müssen kontrolliert werden.