Security · 12.10.2026
GitLab schließt eine kritische Sicherheitslücke mit maximalem CVSS-Score im CI/CD-Compiler. Administratoren sollten Updates sofort einspielen.
GitLab hat eine kritische Sicherheitslücke mit der maximalen CVSS-Bewertung von 10,0 im CI/CD Regular Expression Compiler geschlossen. Angreifer können diese Schwachstelle ausnutzen, um Schadcode remote auf betroffenen Instanzen auszuführen. Verantwortliche Systemadministratoren sind dringend aufgefordert, die bereitgestellten Sicherheitsupdates umgehend zu installieren, um die Systeme abzusichern.
Viele Unternehmen im DACH-Raum setzen GitLab als zentrale Plattform für die Softwareentwicklung und automatisierte CI/CD-Pipelines (Continuous Integration/Continuous Delivery) ein. Da diese Systeme tief in die interne Infrastruktur integriert sind und Zugriff auf sensible Quellcodes, API-Schlüssel sowie Zugangsdaten haben, stellt eine Remotecodeausführung (RCE) ein extremes Risiko dar.
Ein erfolgreicher Angriff auf diese Schnittstelle könnte es Bedrohungsakteuren ermöglichen, Schadcode direkt in die Entwicklungsprozesse einzuschleusen (Supply-Chain-Angriffe) oder sich seitlich im Unternehmensnetzwerk zu bewegen. Auch anspruchsvolle Privatnutzer, die eigene GitLab-Instanzen für private Projekte hosten, sind von dieser Schwachstelle direkt betroffen und gefährdet.
Betreiber von selbstgehosteten GitLab-Instanzen der Community Edition (CE) und Enterprise Edition (EE) müssen unverzüglich prüfen, welche Version derzeit im Einsatz ist. GitLab hat die entsprechenden Sicherheitsreparaturen in den folgenden Versionen veröffentlicht:
Da die Schwachstelle mit dem maximalen Schweregrad eingestuft wurde, sollte das Einspielen der Patches ohne Verzögerung und gegebenenfalls auch außerhalb der regulären Wartungsfenster erfolgen. Zudem wird empfohlen, die Systemprotokolle auf ungewöhnliche Aktivitäten hin zu überprüfen und den administrativen Zugriff auf GitLab-Instanzen grundsätzlich durch Firewalls oder VPN-Zugänge einzuschränken.
Die aktuelle Warnung verdeutlicht einmal mehr, dass CI/CD-Systeme zu den kritischsten Komponenten moderner IT-Infrastrukturen gehören. Ein konsequentes und schnelles Patch-Management ist der einzige wirksame Schutz gegen die Ausnutzung solcher kritischen Zero-Day-Lücken.
Quelle: BleepingComputer