Auf den Punkt: Eine ungepatchte, kritische GitLab-Schwachstelle (CVE-2026-19478) erlaubt es nicht authentifizierten Angreifern per einzelner HTTP-Anfrage, öffentliche Repositories zu manipulieren oder zu löschen, weshalb sofortiges Patchen auf Version 19.2.4/19.1.6/19.0.8/18.11.11 sowie eine temporäre Absicherung des /api/graphql-Endpunkts dringend geboten sind.
GitLab hat eine kritische Schwachstelle (CVE-2026-19478) geschlossen, über die nicht authentifizierte Angreifer mit einer einzigen HTTP-Anfrage Code-Repositories manipulieren oder vollständig löschen konnten. Zusätzlich wurde eine hochriskante CSRF-Lücke (CVE-2026-19650) behoben.
Die kritische Schwachstelle CVE-2026-19478 wird als Code-Injection über die GraphQL-Direktive beschrieben und wurde privat über das Bug-Bounty-Programm von GitLab auf HackerOne gemeldet. Eine zweite, als hochriskant eingestufte Lücke, CVE-2026-19650, betrifft ein CSRF-Problem im GraphQL-Multiplex-Query-Handler. GitLab hat beide Probleme mit den Versionen 19.2.4, 19.1.6, 19.0.8 und 18.11.11 sowohl für die Community Edition (CE) als auch die Enterprise Edition (EE) behoben.
Der Exploit für CVE-2026-19478 benötigt weder Zugangsdaten noch Nutzerinteraktion oder eine spezielle Konfiguration. Angreifer können damit den Zustand von GitLab-Repositories umschreiben, Merge-Records fälschen, Maintainer sperren und ganze Projekte löschen. Besonders für direkt aus dem Internet erreichbare GitLab-Instanzen ist die Lücke kritisch, da sie Software-Supply-Chain-Angriffe ermöglicht. GitLab ist als selbst hostbare Alternative zu GitHub insbesondere bei Unternehmen verbreitet, die eigene DevOps-Plattformen mit CI/CD-Pipelines und Security-Scanning betreiben.
Sicherheitsforscher der Firma watchTowr warnen, dass die Details der Schwachstelle zwar noch nicht öffentlich sind, sich der Patch aber leicht zurückentwickeln lässt. Jake Knott, Principal Security Researcher bei watchTowr, erklärte gegenüber CSO, dass sein Team die Schwachstelle innerhalb von Minuten nach Bekanntwerden der Offenlegung allein anhand von Advisory und Patch reproduzieren konnte. Er geht davon aus, dass KI-gestützte Angreifer nicht weit dahinter zurückbleiben werden.
CISOs mit GitLab-Instanzen im eigenen Betrieb sollten die Patches umgehend einspielen. Solange dies nicht möglich ist, empfiehlt sich, betroffene Repositories auf privat zu stellen und nicht authentifizierten Zugriff auf den Endpunkt /api/graphql zu blockieren.
Quelle: www.csoonline.com · Erschienen 18. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.