Mehr als 1.000 öffentlich erreichbare GitLab-Server bleiben für eine Schwachstelle anfällig, die Angreifer aktiv ausnutzen, um Code aus der Ferne auszuführen. Das berichtete BleepingComputer am 2. November unter Berufung auf Messungen von Shadowserver. GitLab hatte am 12. Oktober Patches veröffentlicht, sodass Administratoren nicht gepatchter, selbst verwalteter Installationen ein dringendes Update einspielen müssen.
Die Schwachstelle CVE-2026-97229 betrifft GitLab Community Edition (CE) und Enterprise Edition (EE). CISA bestätigte die aktive Ausnutzung in einer Warnung vom 29. Oktober, mit der die Lücke in den Katalog bekannter ausgenutzter Schwachstellen aufgenommen wurde. Dieser Katalog erfasst Lücken, die bei realen Angriffen eingesetzt werden.
Die Zahl der betroffenen Systeme bezieht sich auf verwundbare Server. Shadowserver erklärte am Sonntag, dass es mehr als 1.000 Instanzen verfolge, die für CVE-2026-97229 anfällig sind.
Wie die Lücke die Ausführung von Code ermöglicht
Die Schwachstelle mit maximalem Schweregrad beruht auf einem Integer-Überlauf, also einem Zustand, in dem eine Berechnung den Wertebereich überschreitet, den ein Programm darstellen kann. Sie steckt im CI/CD Regular Expression Compiler von GitLab, der Textmuster in Konfigurationsdateien verarbeitet, die für automatisierte Build-, Test- und Deployment-Pipelines genutzt werden.
In ihrer Erklärung vom 12. Oktober, die BleepingComputer wiedergibt, schrieb GitLab, dass eine unzureichende Validierung dieser Muster unter bestimmten Umständen einem nicht authentifizierten Nutzer erlauben könnte, beliebigen Code auf dem Server auszuführen. Die Angriffseingabe ist ein speziell gestalteter regulärer Ausdruck in einer CI/CD-Konfiguration.
GitLab nannte die Versionen 19.4.2, 19.3.5 und 19.2.8 der CE- und EE-Editionen als Releases mit den Sicherheitskorrekturen. Das Unternehmen empfahl allen selbst verwalteten Installationen dringend, sofort zu aktualisieren. Laut GitLab war GitLab.com bereits gepatcht, und Kunden von GitLab Dedicated müssten nichts unternehmen.
Eine zweite Compiler-Lücke lässt weitere Instanzen offen
Shadowserver meldete außerdem mehr als 11.300 Instanzen, die für CVE-2026-110264 anfällig sind. Dies betrifft einen Teil der rund 39.000 GitLab-Instanzen, die Shadowserver täglich beobachtet. Diese separate Schwachstelle mit maximalem Schweregrad im Regular Expression Compiler, die im vergangenen Monat behoben wurde, erlaubt ebenfalls die Ausführung beliebigen Codes auf betroffenen Instanzen. Die Bestätigung der Ausnutzung durch CISA bezieht sich auf die Kennung CVE-2026-97229; die größere Zahl betrifft CVE-2026-110264.
Weitere GitLab-Korrekturen in diesem Jahr waren die im Januar veröffentlichte Umgehung der Zwei-Faktor-Authentifizierung mit hohem Schweregrad (CVE-2026-0723) und die im September geschlossene Schwachstelle in der Commits-API für Repositories mit maximalem Schweregrad (CVE-2026-85706). Diese kann Zugangsdaten und andere Geheimnisse offenlegen. CISA stufte Letztere als aktiv ausgenutzt ein, nachdem watchTowr berichtet hatte, dass Angreifer nach verwundbaren Servern suchten.
BleepingComputer berichtete, dass CISA seit November 2021 sechs GitLab-Schwachstellen in ihren Katalog ausgenutzter Schwachstellen aufgenommen hat, darunter eine, die bei Ransomware-Angriffen eingesetzt wurde. GitLab gibt an, dass seine Plattform mehr als 70 Millionen registrierte Nutzer hat und von mehr als der Hälfte der Fortune-100-Unternehmen weltweit genutzt wird.
Was Administratoren tun sollten
BleepingComputer nannte eine Frist für die Behebung bis Sonntag für Bundesbehörden. Die verbindliche Anweisung der CISA gilt für Behörden der zivilen Bundesexekutive der USA (Federal Civilian Executive Branch). Sie setzt die schnelle Behebung katalogisierter Schwachstellen auf öffentlich erreichbaren Systemen an die erste Stelle, wenn eine Ausnutzung die vollständige Kontrolle ermöglicht. Außerdem formuliert sie Erwartungen, Systeme vor dem Patchen daraufhin zu prüfen, ob Angreifer sie bereits kompromittiert haben. CISA empfiehlt auch anderen Organisationen, katalogisierte Lücken vorrangig zu behandeln.
Administratoren selbst verwalteter GitLab-Installationen sollten der Empfehlung von GitLab folgen und sofort auf die gepatchten CE- oder EE-Versionen 19.4.2, 19.3.5 oder 19.2.8 aktualisieren.
