Kritische Sicherheitslücke: Hacker attackieren Gitlab-Instanzen

Was geschehen ist – die Kernmeldung

Softwareentwickler und IT-Administratoren stehen derzeit vor einer akuten Bedrohungslage, da eine kritische Sicherheitslücke in Gitlab-Instanzen aktiv von Angreifern ausgenutzt wird. Die Schwachstelle, die unter der Kennung CVE-2026-19478 geführt wird, ermöglicht es unbefugten Dritten, ohne jegliche Authentifizierung auf selbst verwaltete Gitlab-Umgebungen zuzugreifen. Die Konsequenzen dieser Sicherheitslücke sind gravierend: Angreifer sind in der Lage, öffentliche Softwareprojekte nicht nur zu manipulieren, sondern diese sogar vollständig zu löschen. Die Bedrohung wurde durch Sicherheitsforscher des Unternehmens Watchtowr identifiziert, die bereits kurz nach der Veröffentlichung der offiziellen Patches durch Gitlab erste Ausnutzungsversuche auf ihren Honeypot-Systemen beobachteten. Da für den Angriff lediglich ein präparierter HTTP-Request notwendig ist, stellt die Lücke ein erhebliches Risiko für die Integrität und Verfügbarkeit von Quellcode dar. Administratoren sind dazu aufgerufen, ihre Systeme unverzüglich auf die bereitgestellten Sicherheitsversionen zu aktualisieren, um den Schutz ihrer Infrastrukturen zu gewährleisten.

Die Einzelheiten der Schwachstelle

Die Sicherheitslücke CVE-2026-19478 wird aufgrund ihres hohen Gefahrenpotenzials mit einem kritischen CVSS-Wert von 9,4 bewertet. Der technische Kern des Angriffs liegt in der Übermittlung speziell gestalteter GraphQL-Anweisungen an den API-Endpunkt `/api/graphql` der betroffenen Gitlab-Systeme. Laut den Analysen des Forschers Jake Knott von Watchtowr ist es Angreifern möglich, über diesen einen Request hinausgehende Aktionen auszuführen. Dazu gehört neben der Manipulation und dem Löschen von öffentlichen Projekten auch das Fälschen von Merge-Einträgen sowie das Sperren von Maintainern. Besonders kritisch ist hierbei, dass für den Angriff weder eine Nutzerinteraktion noch die Kenntnis von gültigen Anmeldedaten erforderlich ist. Betroffen sind die Gitlab Community Edition (CE) sowie die Enterprise Edition (EE) in den Versionen 18.2, 19.0, 19.1 und 19.2 sowie neueren Ausprägungen. Die notwendigen Sicherheitsupdates wurden in den Versionen 18.11.11, 19.0.8, 19.1.6 und 19.2.4 veröffentlicht, um die Schwachstelle zu schließen.

Hintergrund und bisheriger Verlauf

Die Sicherheitslücke wurde erst zu Beginn der Woche durch Gitlab bekannt gegeben, als das Unternehmen die entsprechenden Patches zur Verfügung stellte. Dass die Zeitspanne zwischen der Veröffentlichung der Fehlerbehebung und den ersten aktiven Ausnutzungsversuchen derart gering ausfällt, ist ein bezeichnendes Merkmal der aktuellen Bedrohungslage. Sicherheitsforscher von Watchtowr konnten bereits am Mittwoch auf ihren Honeypot-Systemen feststellen, dass Angreifer die Schwachstelle aktiv scannen und attackieren. Die Geschwindigkeit, mit der sich die Bedrohung ausbreitet, ist eng mit der technologischen Entwicklung im Bereich der Künstlichen Intelligenz verknüpft. Bereits am Dienstag, also unmittelbar nach dem Bekanntwerden der Lücke, demonstrierten die Forscher von Watchtowr via X, dass sie mit ihrem eigenen KI-Tool „Project Red“ innerhalb weniger Minuten einen funktionsfähigen Exploit für die Schwachstelle erstellen konnten. Diese Effizienz bei der Erstellung von Schadcode durch KI-gestützte Werkzeuge macht es für Angreifer deutlich einfacher, bekannte Sicherheitslücken in kürzester Zeit in ihre Angriffsszenarien zu integrieren.

Die Beteiligten und Betroffenen

Im Zentrum der Ereignisse steht das Unternehmen Gitlab, das für die Bereitstellung der Software und der notwendigen Sicherheitsupdates verantwortlich ist. Die Sicherheitsforscher von Watchtowr, darunter Jake Knott, fungieren als Beobachter, die die Ausnutzung der Lücke in der Praxis dokumentieren und die Öffentlichkeit vor den Gefahren warnen. Betroffen sind primär Betreiber von selbst verwalteten (self-hosted) Gitlab-Instanzen, da diese für das Einspielen der Patches selbst Sorge tragen müssen. Nutzer der SaaS-Lösung Gitlab Dedicated sowie Anwender der Plattform Gitlab.com sind hingegen nicht gefährdet, da das Unternehmen die zugrunde liegenden Systeme bereits proaktiv abgesichert hat. Die Rolle der Administratoren ist in diesem Kontext entscheidend, da sie durch die zeitnahe Implementierung der Updates oder durch alternative Schutzmaßnahmen wie die Einschränkung des API-Zugriffs für die Sicherheit der gehosteten Projekte verantwortlich sind.

Einordnung der Sicherheitslage

Einzuordnen ist das so: Die Kombination aus einer kritischen Schwachstelle, die keine Authentifizierung erfordert, und der rasanten Entwicklung von KI-gestützten Exploit-Werkzeugen stellt eine neue Qualität der Bedrohung dar. Den Berichten zufolge ist die Zeitspanne, die Administratoren für das Patchen ihrer Systeme bleibt, drastisch geschrumpft. Während früher oft Tage oder Wochen zwischen der Veröffentlichung einer Lücke und deren breiter Ausnutzung lagen, genügt heute oft ein einziger Tag. Die Fähigkeit von Angreifern, mit minimalem Aufwand – in diesem Fall einem einzigen HTTP-Request – tiefgreifende Eingriffe in Softwareprojekte vorzunehmen, unterstreicht die Notwendigkeit, Sicherheitsupdates als unmittelbare Priorität zu behandeln. Die Tatsache, dass selbst komplexe Schwachstellen durch KI-Tools in Minuten in Exploits übersetzt werden können, bedeutet, dass die klassische Strategie des „Security through Obscurity“ oder langsame Patch-Zyklen in der heutigen Zeit keine ausreichende Schutzwirkung mehr entfalten können.

Offene Fragen zur Bedrohung

Der aktuelle Kenntnisstand lässt einige Fragen unbeantwortet, die für die betroffenen Administratoren von Relevanz sein könnten. So bleibt unklar, wie viele Instanzen weltweit bereits erfolgreich kompromittiert wurden und welche spezifischen Projekte oder Organisationen das primäre Ziel der bisher beobachteten Angriffe waren. Zudem gibt der Quelltext keinen Aufschluss darüber, ob neben den genannten Funktionen auch weitergehende Rechteausweitungen oder Datenabflüsse möglich sind, die über die Manipulation von öffentlichen Projekten hinausgehen. Es ist ebenfalls nicht explizit benannt, ob es Anzeichen für eine koordinierte Kampagne einer bestimmten Gruppierung gibt oder ob es sich um opportunistische Angriffe handelt, die lediglich die Schwachstelle als solche ausnutzen. Auch bleibt offen, wie viele Unternehmen trotz der Warnungen noch immer ungepatchte Systeme betreiben, die für Angreifer weiterhin als leichtes Ziel zur Verfügung stehen.

Wie es weitergeht

Für die betroffenen Administratoren gibt es einen klaren Handlungsauftrag: Die Installation der bereitgestellten Sicherheitsupdates in den Versionen 18.11.11, 19.0.8, 19.1.6 oder 19.2.4 ist unumgänglich. Sollte ein sofortiges Update der gesamten Gitlab-Umgebung aus betrieblichen Gründen nicht unmittelbar möglich sein, wird als temporäre Schutzmaßnahme empfohlen, den Zugriff auf den API-Endpunkt `/api/graphql` strikt einzuschränken. Dies soll verhindern, dass Angreifer den Endpunkt ungehindert über das Internet ansteuern können. Da die Angriffe bereits laufen, ist davon auszugehen, dass die Zahl der Versuche, die Schwachstelle auszunutzen, in den kommenden Tagen weiter zunehmen wird. Administratoren sollten ihre Protokolle auf ungewöhnliche Anfragen an den GraphQL-Endpunkt hin untersuchen, um mögliche Kompromittierungen frühzeitig zu erkennen. Eine weitere Beobachtung der Sicherheitslage durch Fachdienste bleibt für IT-Verantwortliche in den nächsten Tagen essenziell, um auf etwaige neue Erkenntnisse oder weitere Schwachstellen zeitnah reagieren zu können.