Kritische Sicherheitslücke in GitLab: Angreifer können Projekte löschen

Was geschehen ist – die Kernmeldung

Die weit verbreitete Code-Hosting-Plattform GitLab ist Ziel einer aktuellen Sicherheitswarnung geworden. Wie das Unternehmen am 18. August 2026 bekannt gab, wurden zwei gravierende Sicherheitslücken in der Software identifiziert, die es Angreifern ermöglichen könnten, Projektdaten zu manipulieren oder sogar vollständig zu löschen. Die Schwachstellen betreffen sowohl die GitLab Community Edition als auch die Enterprise Edition. Die Entwickler haben bereits reagiert und entsprechende Sicherheitsupdates veröffentlicht, um die Integrität der betroffenen GitLab-Umgebungen wiederherzustellen. Betroffen sind insbesondere On-Premises-Installationen, bei denen die Administratoren nun in der Pflicht stehen, zeitnah die neuesten Versionen einzuspielen. Während die Cloud-Plattform GitLab.com nach Angaben der Entwickler bereits mit den reparierten Versionen läuft, müssen Betreiber eigener Instanzen aktiv werden, um ihre Systeme vor potenziellen Angriffen zu schützen. Die Warnung unterstreicht die Dringlichkeit, da die Schwachstellen tief in die API-Struktur der Plattform eingreifen und somit ein erhebliches Risiko für die dort verwalteten Softwareprojekte darstellen.

Die Einzelheiten der Schwachstellen

Im Zentrum der Bedrohung stehen zwei spezifische Schwachstellen, die unter den Bezeichnungen CVE-2026-19478 und CVE-2026-19650 geführt werden. Die als „kritisch“ eingestufte Lücke CVE-2026-19478 ist in der GraphQL-API der GitLab-Instanz verankert. Ein Angreifer, der Zugriff auf diese Schnittstelle erlangen kann, ist in der Lage, durch gezielt präparierte GraphQL-Anfragen öffentliche Projekte sowie Nutzerdaten zu verändern oder diese unwiderruflich zu löschen. Die zweite Schwachstelle, CVE-2026-19650, wird mit dem Schweregrad „hoch“ bewertet. Hier ist das Angriffsszenario komplexer: Es erfordert die Interaktion eines Opfers, etwa durch das Anklicken eines manipulierten Links. Sobald dies geschieht, kann ein Angreifer über GET-Anfragen an der GraphQL-API ansetzen, um Projekteinstellungen gezielt zu manipulieren. Besonders gefährlich wird es, wenn das betroffene Opfer über Administrator-Rechte verfügt. In einem solchen Fall könnte ein Angreifer diese Privilegien missbrauchen, um die gesamte GitLab-Instanz zu kompromittieren. Die Entwickler haben die Korrekturen in den Versionen 18.11.11, 19.0.8, 19.1.6 und 19.2.4 implementiert, die nun für die Anwender zur Verfügung stehen.

Hintergrund und bisheriger Verlauf

Die Sicherheit von Softwareentwicklungsumgebungen ist ein zentrales Anliegen für Unternehmen weltweit, da hier der gesamte Quellcode und damit das geistige Eigentum verwaltet wird. GitLab hat in der Vergangenheit bereits mehrfach auf Sicherheitsbedrohungen reagieren müssen. Erst Ende Juli dieses Jahres hatten die Entwickler ihre Nutzer zu einem zügigen Update aufgerufen, was die kontinuierliche Arbeit an der Absicherung der Plattform unterstreicht. Die aktuelle Situation ist jedoch aufgrund der Art der Schwachstellen besonders sensibel. Da die GraphQL-API als Schnittstelle für viele automatisierte Prozesse dient, ist sie ein attraktives Ziel für Angreifer. Die nun geschlossenen Lücken verdeutlichen, wie wichtig eine robuste API-Sicherheit ist. GitLab verfolgt eine Strategie der kontinuierlichen Verbesserung, bei der regelmäßig Sicherheits-Patches veröffentlicht werden. Dass nun zwei Lücken gleichzeitig adressiert werden mussten, zeigt die Komplexität der Plattform. Für Administratoren ist es essenziell, den Support-Status ihrer jeweiligen Versionen im Blick zu behalten, da nur für aktiv unterstützte Ausgaben Sicherheitsupdates bereitgestellt werden. Wer veraltete Versionen einsetzt, ist gezwungen, auf eine noch unterstützte Version zu migrieren, um den Schutz vor derartigen Angriffen zu gewährleisten.

Die Beteiligten und ihre Rollen

Die Verantwortung für die Sicherheit der Plattform liegt primär bei den Entwicklern von GitLab, die die Schwachstellen identifiziert, analysiert und die entsprechenden Patches entwickelt haben. Sie fungieren als zentrale Instanz für die Herausgabe von Sicherheitswarnungen und die Bereitstellung der Software-Updates. Auf der anderen Seite stehen die Administratoren von On-Premises-Installationen. Sie tragen die Verantwortung für die Sicherheit der in ihrem Unternehmen betriebenen GitLab-Instanzen. Sie sind diejenigen, die die Entscheidung treffen müssen, wann und wie die bereitgestellten Patches eingespielt werden. Zudem sind die Nutzer der Plattform indirekt beteiligt, da sie durch ihr Verhalten – insbesondere bei der Lücke CVE-2026-19650, die eine Interaktion erfordert – ungewollt zum Einfallstor für Angreifer werden können. Die Kommunikation zwischen den Entwicklern und den Administratoren ist dabei entscheidend für die Sicherheit des gesamten Ökosystems. Die Entwickler geben dabei die klare Empfehlung aus, die Patches demnächst zu installieren, um die Integrität der Softwareentwicklungsumgebungen zu wahren und das Risiko für die Unternehmen zu minimieren.

Einordnung der Sicherheitslage

Einzuordnen ist die aktuelle Sicherheitswarnung als ernstzunehmende Bedrohung für alle, die GitLab als zentrale Plattform für ihre Softwareentwicklung nutzen. Den Berichten zufolge ist die Möglichkeit, Projekteinstellungen zu verändern oder gar ganze Instanzen zu kompromittieren, ein Szenario, das den Betrieb eines Unternehmens massiv stören kann. Besonders kritisch ist die Tatsache, dass die GraphQL-API direkt angegriffen werden kann. Dies bedeutet, dass Angreifer nicht zwingend eine grafische Benutzeroberfläche benötigen, um Schaden anzurichten, sondern ihre Anfragen automatisiert und präzise absetzen können. Die Einstufung als „kritisch“ für die erste Schwachstelle unterstreicht das hohe Gefahrenpotenzial. Dass bisher keine Hinweise darauf vorliegen, dass die Lücken bereits aktiv ausgenutzt werden, ist zwar beruhigend, sollte jedoch keineswegs zu Nachlässigkeit führen. Die Erfahrung zeigt, dass nach der Veröffentlichung von Sicherheitsupdates die Zeitfenster für Angreifer, die versuchen, die Lücken mittels Reverse Engineering der Patches nachzubilden, sehr kurz sind. Daher ist die Empfehlung der Entwickler, die Updates zügig einzuspielen, als dringende Sicherheitsmaßnahme zu verstehen, um die Integrität der Daten zu schützen.

Offene Fragen und Lücken im Wissensstand

Trotz der detaillierten Warnung durch GitLab bleiben einige Punkte unklar, die für die betroffenen Administratoren von Relevanz sein könnten. So gibt der Quelltext keine Auskunft darüber, wie lange die Schwachstellen bereits existierten, bevor sie entdeckt wurden. Es ist somit unklar, ob in der Vergangenheit bereits unbemerkt Zugriffe auf die GraphQL-API stattgefunden haben könnten. Ebenso fehlen Informationen darüber, ob es spezifische Indikatoren gibt, an denen Administratoren erkennen könnten, ob ihre Instanz bereits Ziel eines Angriffs war. Auch bleibt offen, wie hoch die Anzahl der weltweit betroffenen On-Premises-Installationen ist, die noch nicht auf die sicheren Versionen aktualisiert wurden. Zudem wird nicht explizit benannt, welche spezifischen Voraussetzungen ein Angreifer benötigt, um die GraphQL-API überhaupt erst erreichen zu können – etwa ob dies nur aus dem internen Netzwerk oder auch über das öffentliche Internet möglich ist. Diese Lücken im Wissensstand erfordern von den Administratoren eine erhöhte Wachsamkeit und eine gründliche Prüfung der eigenen Systemprotokolle, um sicherzustellen, dass keine unbefugten Zugriffe stattgefunden haben.

Wie es weitergeht

Die nächsten Schritte für Administratoren sind klar definiert: Sie müssen die bereitgestellten Sicherheitsupdates für die GitLab Community Edition und Enterprise Edition zeitnah installieren. GitLab hat die Versionen 18.11.11, 19.0.8, 19.1.6 und 19.2.4 als sicher eingestuft. Wer eine Version einsetzt, die nicht mehr offiziell unterstützt wird, muss zwingend ein Upgrade auf eine aktuell gewartete Version durchführen. Die Entwickler haben angekündigt, dass auf ihrer eigenen Plattform GitLab.com bereits alle notwendigen Maßnahmen ergriffen wurden. Für alle anderen Instanzen liegt der Ball nun bei den Betreibern. Es ist davon auszugehen, dass GitLab in den kommenden Wochen die Entwicklung und Veröffentlichung weiterer Sicherheitsupdates fortsetzen wird, um die Plattform gegen neue Bedrohungen zu wappnen. Administratoren sollten daher regelmäßig die offiziellen Kanäle von GitLab für Sicherheitsmeldungen überwachen. Die schnelle Reaktion der Entwickler zeigt, dass die Plattform aktiv gepflegt wird, doch die Sicherheit der eigenen Umgebung bleibt eine geteilte Verantwortung, die durch das konsequente Einspielen von Patches wahrgenommen werden muss.