Kritische Sicherheitslücke bedroht Gitlab-Server

News

Gitlab warnt vor einer neuen kritischen Sicherheitslücke, die unter bestimmten Bedingungen die Ausführung von Code aus der Ferne ohne Authentifizierung ermöglicht. Der Anbieter empfiehlt, die betroffenen Installationen unverzüglich zu aktualisieren.

(Source: valerybrozhinsky / stock.adobe.com)

Gitlab hat Patches für eine neue kritische Sicherheitslücke veröffentlicht, die es einem Angreifer aus der Ferne ermöglichen könnte, ohne Authentifizierung beliebigen Programmcode auf einem Server auszuführen. Die unter der Kennung CVE-2026-110264 geführte und auf der CVSS-Skala mit 10 von 10 bewertete Schwachstelle betrifft die Community- (CE) und Enterprise- (EE) Editionen der DevSecOps-Plattform.

Laut Gitlab ist die Schwachstelle auf einen Fehler bei der Verarbeitung numerischer Werte durch den Compiler für reguläre Ausdrücke zurückzuführen. Unter bestimmten Bedingungen könnten Angreifer die Schwachstelle mithilfe eines speziell gestalteten Ausdrucks ausnutzen, um auf dem Server ohne Authentifizierung Schadcode auszuführen. Die Schwachstelle sei von einem Forscher mit dem Pseudonym "joaxcar" im Rahmen des Gitlab-Bug-Bounty-Programms gemeldet worden.

Der Anbieter behebt die Schwachstelle mit den Versionen 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 und 18.11.13. Gitlab empfiehlt Administratoren selbst gehosteter Instanzen, die Patches unverzüglich zu installieren. Der Dienst Gitlab.com sei bereits geschützt, ebenso wie die Gitlab Dedicated-Umgebungen, die über die korrigierten internen Versionen verfügen.

Nicht der erste Vorfall

Gitlab veröffentlichte diese Warnung zehn Tage nach der Bekanntgabe einer weiteren kritischen Sicherheitslücke, die die Ausführung von Programmcode aus der Ferne ermöglicht (CVE-2026-97229) und ebenfalls mit 10 von 10 bewertet wurde, wie "BleepingComputer" berichtet. Auch im September habe Gitlab eine Schwachstelle mit dem höchsten Schweregrad (CVE-2026-85706) behoben, die den nicht authentifizierten Zugriff auf sensible Informationen ermöglichte. Letztere sei von der US-Behörde CISA in ihren Katalog der aktiv ausgenutzten Schwachstellen aufgenommen worden.

Die Warnung von Gitlab erfolgt ausserdem wenige Tage nach der Bekanntgabe von zwei kritischen Sicherheitslücken in PHP, deren Tragweite mithilfe künstlicher Intelligenz erkannt wurde. Ein Hackerangriff auf TeamUpdraft machte zudem WordPress-Websites für die Installation von Schadsoftware anfällig; auch das Unternehmen hinter der Blogging-Plattform vermutet, dass die Angreifer möglicherweise KI eingesetzt haben. Auch wenn im Fall von Gitlab kein Einsatz von KI nachgewiesen wurde, verdeutlichen diese Vorfälle die Herausforderungen, die mit der beschleunigten Entdeckung und Ausnutzung von Sicherheitslücken verbunden sind.

Das könnte Sie auch interessieren: Bei Ricardo waren persönliche Daten von rund 890'000 Nutzerkonten unbefugt zugänglich. Mehr dazu lesen Sie hier.

Wenn Sie mehr zu Cybercrime und Cybersecurity lesen möchten, melden Sie sich hier für den Newsletter von Swisscybersecurity.net an. Auf dem Portal lesen Sie täglich News über aktuelle Bedrohungen und neue Abwehrstrategien.

Artikel teilen: