Das Bundesamt für Sicherheit in der Informationstechnik (BSI) schlägt Alarm: Nur wenige Tage nach der Veröffentlichung eines Sicherheitsupdates für die DevOps-Plattform GitLab häufen sich Berichte über aktive Angriffsversuche. Betroffen sind sowohl die Community- als auch die Enterprise-Edition der weit verbreiteten Software.

Am 10. September 2026 veröffentlichte GitLab ein Advisory zu insgesamt 18 Sicherheitslücken. Davon gelten zwei als kritisch, sechs als hoch, neun als mittel und eine als niedrig eingestuft – eine ungewöhnlich hohe Zahl gleichzeitig geschlossener Schwachstellen.

Zwei kritische Lücken im Fokus

Besondere Aufmerksamkeit gilt der Schwachstelle CVE-2026-85706, die mit dem höchstmöglichen CVSS-Wert von 10.0 bewertet wurde. Eine unzureichende Pfad-Beschränkung sowie eine fehlende Authentifizierung in der Repository Commits API erlauben es entfernten, nicht authentifizierten Angreifern, Informationen aus verwundbaren Systemen auszulesen.

Kaum weniger brisant ist CVE-2026-87719 mit einem CVSS-Wert von 9.9. Eine unsichere Deserialisierung in GraphQL kann Angreifern mit Zugriff auf den Duo Chat ermöglichen, über die erweiterte Suche Zugangsdaten und Informationen zu entwenden – betroffen ist hier ausschließlich die Enterprise Edition.

Angriffe kurz nach Bekanntgabe

Ursprünglich schloss GitLab die Lücken im Rahmen des regulären Patchzyklus, ohne Hinweise auf eine Ausnutzung zu vermelden. Das änderte sich übers Wochenende: Das IT-Sicherheitsunternehmen watchTowr berichtet inzwischen von Angriffsversuchen auf GitLab-Instanzen, und die US-Behörde CISA hat die Schwachstelle in ihren Known-Exploited-Vulnerabilities-Katalog aufgenommen.

Parallel dazu tauchten auf verschiedenen Plattformen bereits erste Proof-of-Concepts und Exploits auf. Damit verkürzt sich das Zeitfenster für Betreiber drastisch, in dem sie ihre Systeme noch vor einer möglichen Ausnutzung absichern können.

Keine Workarounds, nur Updates

Das BSI stuft die Lage mit der Kritikalität 2 von 4 ("Gelb") ein – Maßnahmen müssten zeitnah ergriffen werden, da temporäre Beeinträchtigungen des Regelbetriebs möglich seien. Besonders gefährdet sind aus Sicht der Behörde öffentlich erreichbare GitLab-Instanzen, da sich CVE-2026-85706 bereits über einen einzelnen HTTP-Request ausnutzen lassen soll.

Zwar betont GitLab, dass eine Ausnutzung nur "unter bestimmten Bedingungen" möglich sei, spezifiziert diese jedoch nicht näher. Das BSI geht deshalb vorsorglich davon aus, dass zahlreiche exponierte Systeme potenziell angreifbar sind, und rät auch dazu, die als weniger kritisch eingestuften Lücken nicht zu vernachlässigen.

Konkrete Workarounds nennt GitLab in seinem Advisory nicht – als Gegenmaßnahme bleibt somit nur die Installation der fehlerbereinigten Versionen 19.3.2, 19.2.6 beziehungsweise 19.1.8. Wer eine Kompromittierung ausschließen möchte, sollte laut watchTowr gezielt nach verdächtigen POST-Anfragen an die Repository-Commits-API mit auffälligen "file.path"-Parametern suchen.