Angreifer lesen GitLab-Dateien ohne Login
CISA hat eine Lücke in GitLab Community Edition und Enterprise Edition als ausgenutzt gelistet. Die Frist für zivile US-Bundesstellen endet am 14. September. Wer eine eigene Instanz betreibt, spielt die neuen Builds jetzt ein.
Das Wichtigste in Kürze
- CISA listet CVE-2026-85706 als ausgenutzt. Zivile US-Bundesstellen müssen patchen und die Systeme forensisch sichten.
- GitLab hat am 10. September die Builds 19.3.2, 19.2.6 und 19.1.8 ausgeliefert. GitLab.com und Dedicated laufen bereits auf der festen Fassung.
- Ein nicht angemeldeter Nutzer kann unter bestimmten Bedingungen beliebige Dateien vom Server lesen. Die Commits-API begrenzte Pfade nicht und prüfte die Anmeldung nicht.
- WatchTowr sieht Sonden gegen das Honeypot-Netz Attacker Eye. In den Logs stehen POST-Anfragen an die Commits-API mit dem Parameter file.path.
Verwandt: Fremde Befehle auf 8393 Gitea Servern möglich · CISA listet Ray: Browser starten Cluster-Jobs ohne Login
CISA setzt US-Stellen drei Tage Frist
Die US-Behörde CISA hat am 11. September die Schwachstelle CVE-2026-85706 in den Katalog bekannter ausgenutzter Lücken aufgenommen. Der Eintrag betrifft GitLab Community Edition und Enterprise Edition. CISA spricht von einem Pfadtraversal in der Programmierschnittstelle für Repository-Commits.
Zivile US-Bundesstellen müssen betroffene Systeme bis zum 14. September patchen oder anders schützen. Der Katalog verlangt zusätzlich eine forensische Sichtung. CISA kennzeichnet die Ransomware-Nutzung als unbekannt.
Das kanadische Cyber Centre bestätigt im Hinweis AV26-917 vom 11. September dieselbe Aufnahme. Für deutsche Betreiber gibt es keine vergleichbare Frist, das Risiko ist dasselbe.
Definition · GitLab
Was ist GitLab? Eine Plattform für Quellcode, Builds und Freigaben. Firmen betreiben sie selbst oder nutzen GitLab.com. Wer Dateien vom Server lesen kann, findet oft Tokens, Schlüssel und Pipeline-Geheimnisse.
Die Commits-API liest Dateien ohne Anmeldung
GitLab hat die Lücke am 10. September geschlossen. Unter bestimmten Bedingungen liest ein Nutzer ohne Konto beliebige Dateien vom Server. Die Commits-API begrenzte Pfade nicht.
GitLab stuft die Lücke mit dem Höchstwert 10,0 nach CVSS 3.1 ein. Der Vektor nennt Netzangriff und niedrige Komplexität. Das Opfer muss am Zielsystem nicht interagieren.
Jake Knott, Leiter Threat Intelligence bei WatchTowr, sagt gegenüber SC Media: Für den Zugriff reicht ein öffentliches Projekt auf der Instanz. Typische Ziele sind Dateien mit Zugangsdaten, Schlüsseln und Tokens.
GitLab.com ist gepatcht, selbst betriebene Instanzen noch nicht
GitLab.com läuft bereits auf der gepatchten Fassung. Kunden von GitLab Dedicated müssen nicht handeln. GitLab empfiehlt, alle selbst betriebenen Installationen sofort auf eine der drei festen Versionen zu heben.
| Linie | Feste Version |
|---|---|
| 18.7 bis vor 19.1.8 | 19.1.8 |
| 19.2 vor 19.2.6 | 19.2.6 |
| 19.3 vor 19.3.2 | 19.3.2 |
Quelle: GitLab Critical Patch Release vom 10. September 2026.
WatchTowr registriert Sonden gegen selbst betriebene Instanzen
WatchTowr hat die Lücke reproduziert und sieht Sonden gegen das Honeypot-Netz Attacker Eye. In der Schnellanalyse vom 11. September nannte Knott gegenüber SC Media den Beginn der Sonden um 6 Uhr UTC an diesem Tag.
WatchTowr ordnet HTTP-POST-Anfragen auf Pfade unter /api/v4/projects/{id}/repository/commits/ mit dem Parameter file.path als Hinweis auf Sonden oder Ausnutzung ein.
WatchTowr hält breite Ausnutzung für wahrscheinlich. Die Firma nennt öffentlich erreichbare, selbst betriebene GitLab-Instanzen als vorrangiges Ziel.
Dieselbe Charge schließt eine zweite Lücke
Dieselben Builds schließen CVE-2026-87719. Die Lücke liegt im GraphQL-Serializer für Abonnements und betrifft nur die Enterprise Edition. GitLab setzt 9,9 auf der Skala CVSS an.
Ein angemeldeter Nutzer mit Zugang zu Duo Chat kann darüber Konfiguration und Zugangsdaten der Advanced Search auslesen. CISA hat diese zweite Lücke am 11. September nicht in den Katalog genommen, der Patch vom 10. September deckt aber beide Lücken. Offen bleibt, wie viele selbst betriebene Instanzen vor der US-Frist am 14. September aktualisiert sind.
Häufige Fragen
Jede Frage ist verschlossen. Ein Tippen entriegelt die Antwort.
Betrifft GitLab.com diese Lücke?
Nein. GitLab.com läuft bereits auf der gepatchten Fassung. Kunden von GitLab Dedicated müssen nicht handeln. Die Empfehlung zum sofortigen Upgrade gilt für selbst betriebene Installationen.
Reicht das Update ohne Blick in die Logs?
Für US-Stellen verlangt CISA eine forensische Sichtung. WatchTowr rät, POST-Anfragen an die Commits-API mit dem Parameter file.path zu suchen. Ein fehlender Treffer schließt frühere Sonden nicht aus.
Steht CVE-2026-87719 ebenfalls im KEV-Katalog?
Nein. CISA hat CVE-2026-87719 am 11. September nicht in den Katalog genommen. Die Lücke liegt in derselben GitLab-Charge, braucht ein Konto mit Duo Chat und betrifft nur die Enterprise Edition.
Lesetipps der Redaktion
LesetippAdobe-Hotfix: Magento-Shops bleiben kompromittiertLesetippZwei unbekannte Lücken: So fiel SonicWalls SMA1000LesetippRhysida leakt Senatsakten: Berlin zahlt 30 Bitcoin nicht
Mehr aus dem MBF Media Netzwerk
cloudmagazinHashiCorp gibt Machine Images einen HerkunftsnachweisMyBusinessFutureHersteller melden CRA-Vorfälle an ENISA vor dem CSIRTDigital ChiefsNvidia kauft Hugging Face für über 11 Milliarden Euro
Bildquelle: KI-generiert (September 2026)
