GitLab behebt CVSS-10-code execution-Schwachstelle in CE und EE
GitLab hat eine Schwachstelle mit maximalem Schweregrad in GitLab Community Edition (CE) und Enterprise Edition (EE) gepatcht, die es nicht authentifizierten Nutzern unter bestimmten Bedingungen hätte ermöglichen können, arbitrary code execution auf einem GitLab-Server auszuführen.
Das Problem wird als CVE-2026-97229 verfolgt und hat einen CVSS-Score von 10,0, die höchste Bewertung im Common Vulnerability Scoring System, das zur Beschreibung der Schwere von Sicherheitslücken verwendet wird. GitLab teilte in einem Advisory am Montag mit, dass das Problem eine unzureichende Prüfung einer regular expression betraf, eines Musters, das Software zum Abgleichen von Text verwendet, in einer CI/CD-Konfiguration. CI/CD bedeutet continuous integration und continuous delivery, den automatisierten Prozess, den viele Entwicklungsteams nutzen, um Software zu testen, zu bauen und bereitzustellen.
Laut GitLab könnte eine speziell präparierte regular expression in dieser CI/CD-Konfiguration unter bestimmten Umständen zu arbitrary code execution auf dem GitLab-Server führen. Praktisch bedeutet arbitrary code execution, dass ein Angreifer das betroffene System möglicherweise dazu bringen kann, Befehle oder Software auszuführen, die vom Angreifer gewählt wurden. Das Advisory beschreibt CVE-2026-97229 als integer overflow-Problem, eine Art Bug, der auftreten kann, wenn Software eine Zahl falsch verarbeitet, die zu groß für den dafür vorgesehenen Speicherbereich ist.
Die betroffenen GitLab CE- und EE-Versionen sind alle Versionen ab 19.2 vor 19.2.8, alle Versionen ab 19.3 vor 19.3.5 und alle Versionen ab 19.4 vor 19.4.2. Behobene Releases sind als 19.4.2, 19.3.5 und 19.2.8 verfügbar. Organisationen, die ihre eigene GitLab-Instanz betreiben, sollten prüfen, welche Version installiert ist, und unverzüglich auf das passende behobene Release wechseln, insbesondere dort, wo GitLab für Nutzer außerhalb eines streng kontrollierten internen Netzwerks erreichbar ist.
Dasselbe Update behebt außerdem drei Schwachstellen mit hohem Schweregrad. CVE-2026-92883 mit einem CVSS-Score von 8,7 ist eine cross-site scripting-Schwachstelle. Cross-site scripting ist ein Web-Sicherheitsproblem, bei dem eine Website dazu gebracht werden kann, unerwünschtes JavaScript, die in Browsern verwendete Skriptsprache, in der Sitzung eines anderen Nutzers auszuführen. GitLab sagte, dieses Problem könnte es einem authentifizierten Nutzer ermöglichen, über ein speziell präpariertes Repository JavaScript in Browser-Sitzungen anderer Nutzer auszuführen.
CVE-2026-16301 mit einem CVSS-Score von 8,5 ist ein improper authorization-Problem im downstream pipeline creation service. Authorization ist die Entscheidung darüber, was ein bereits angemeldeter Nutzer tun darf. In diesem Fall sagte GitLab, dass ein authentifizierter Nutzer mit der Developer role CI/CD pipelines auf protected branches ausführen könnte. Protected branches werden häufig verwendet, um Änderungen an wichtigen Teilen einer Codebase einzuschränken, daher ist eine Schwachstelle, die diese Schutzmechanismen betrifft, für Teams relevant, die sich bei der Steuerung von Software-Releases auf GitLab verlassen.
Der dritte Bug mit hohem Schweregrad ist CVE-2026-14814 mit einem CVSS-Score von 8,2. GitLab beschrieb ihn als permissive regular expression-Schwachstelle, die es einem Nutzer ermöglichen könnte, cached responses für raw repository files zu vergiften. Ein Cache sind gespeicherte Daten, die spätere Anfragen beschleunigen. GitLab sagte, das Problem könnte dazu führen, dass CI/CD pipelines gezielter Nutzer speziell präparierte Inhalte ausführen, und könnte potenziell protected environment variables offenlegen. Environment variables sind Einstellungen, die von Software verwendet werden, und protected ones können sensible Deployment- oder Service-Informationen enthalten.
Das Advisory folgt auf andere aktuelle GitLab-Sicherheitskorrekturen, die von The Hacker News erwähnt wurden. GitLab hatte zuvor CVE-2026-90970 behoben, eine kritische AI Gateway-Schwachstelle mit einem CVSS-Score von 9,9. Dieses Problem hätte es einem authentifizierten Nutzer mit Duo Agent Platform-Zugriff ermöglichen können, über eine speziell präparierte flow configuration aus der prompt template sandbox auszubrechen und arbitrary command execution auf dem AI Gateway zu erreichen. The Hacker News berichtete außerdem, dass CVE-2026-85706, eine weitere GitLab CE- und EE-Schwachstelle mit maximalem Schweregrad und einem CVSS-Score von 10,0, innerhalb weniger Stunden nach der öffentlichen Offenlegung im vergangenen Monat probes in the wild sah.
Für Website-Betreiber und IT-Teams ist die unmittelbare Sorge nicht nur der GitLab-Server selbst, sondern auch die Software-Lieferkette darum herum. Ein selbst gehostetes GitLab-System kann Source Code, Deployment-Einstellungen und CI/CD workflows enthalten, die mit Websites, Anwendungen und Infrastruktur verbunden sind. Eine Schwachstelle, die CI/CD configuration, protected branches, Repository-Inhalte oder environment variables betrifft, kann daher weit über die Code-Hosting-Oberfläche hinaus wichtig sein.
Administratoren sollten dies als priorisiertes Wartungsfenster behandeln, die installierte GitLab CE- oder EE-Version bestätigen und je nach Bedarf auf 19.4.2, 19.3.5 oder 19.2.8 aktualisieren. Teams sollten außerdem überprüfen, welche Nutzer Zugriff mit Developer role haben, wo protected branches verwendet werden und ob CI/CD variables auf die Jobs und branches beschränkt sind, die sie tatsächlich benötigen. Diese Überprüfungen ersetzen das Patchen nicht, können aber vermeidbare Exponierung rund um dieselben workflows reduzieren.
Für Organisationen, die Code-Plattformen als Teil ihres Webbetriebs einsetzen, ist AEU-I hier relevant, weil es sicherheitsorientierte IT, Infrastruktur und Beratung bereitstellt.
Die wichtigste Maßnahme ist einfach: Betroffene GitLab CE- und EE-Installationen sollten auf ein behobenes Release aktualisiert werden. Die schwerwiegendste Schwachstelle erfordert unter den von GitLab beschriebenen Bedingungen kein authentifiziertes Konto, und die zugehörigen Bugs mit hohem Schweregrad betreffen authentifizierte workflows, die viele Entwicklungsteams täglich nutzen.