Kritische Sicherheitslücke in GitLab ermöglicht unautorisierte Datenmanipulation (CVE-2026-19478)
In GitLab CE/EE wurde eine kritische Sicherheitslücke (CVE-2026-19478) behoben. Diese ermöglichte es unter bestimmten Bedingungen einem nicht authentifizierten Nutzer, öffentliche Projekte und Benutzerdaten aus der Ferne zu ändern oder zu löschen.
Was ist passiert?
In GitLab CE/EE wurde eine kritische Sicherheitslücke (CVE-2026-19478) behoben. Diese ermöglichte es unter bestimmten Bedingungen einem nicht authentifizierten Nutzer, öffentliche Projekte und Benutzerdaten aus der Ferne zu ändern oder zu löschen. Die Schwachstelle wurde über eine GraphQL-Direktive ausgenutzt.
Wer ist betroffen?
Betroffen sind Installationen von GitLab CE/EE in allen Versionen von 18.2 bis einschliesslich 18.11.10, von 19.0 bis einschliesslich 19.0.7, von 19.1 bis einschliesslich 19.1.5 und von 19.2 bis einschliesslich 19.2.3. Unternehmen, die diese spezifischen GitLab-Versionen einsetzen, sollten umgehend handeln. Eine genaue Liste der betroffenen Endversionen ist entscheidend für die Risikobewertung.
Wie kritisch ist es?
Die Schwachstelle wird mit einem CVSS-Score von 9.4 als 'kritisch' eingestuft, was auf ein hohes Risiko hinweist. Die Wahrscheinlichkeit einer Ausnutzung innerhalb der nächsten 30 Tage (EPSS) liegt bei 6 %. Obwohl die Schwachstelle derzeit nicht in der CISA KEV-Liste für aktiv ausgenutzte Sicherheitslücken aufgeführt ist, sollte die hohe Kritikalität nicht unterschätzt werden.
Was ist jetzt zu tun?
Es ist dringend empfohlen, betroffene GitLab-Instanzen umgehend auf die behobenen Versionen zu aktualisieren. Dies sind 18.11.11, 19.0.8, 19.1.6 oder 19.2.4, je nach Ihrer aktuellen Hauptversion. Prüfen Sie Ihre GitLab-Version und planen Sie das Update zeitnah ein, um das Risiko einer unautorisierten Datenmanipulation zu minimieren.
Quellen: NVD (CVE-2026-19478), CISA KEV, FIRST EPSS. Automatisch erstellt, redaktionell geprüft.