AKTUELL
GitLab-Sicherheitslücke: Updates schließen kritischen Fehler
Eine kritische GitLab-Sicherheitslücke kann Angreifern erlauben, ohne Anmeldung eigenen Code auf einem Server auszuführen. GitLab hat am 21. Oktober Sicherheitsupdates für die Community Edition und Enterprise Edition veröffentlicht. Wer die Plattform selbst betreibt, soll seine Installation nach Empfehlung des Herstellers umgehend aktualisieren.
Die Schwachstelle CVE-2026-110264 betrifft zahlreiche ältere und aktuelle Versionen. GitLab bewertet sie mit dem höchstmöglichen CVSS-Wert von 10,0. Für Unternehmen und Entwicklungsteams ist dabei entscheidend, dass auf einem solchen Server neben Quellcode auch Zugangsdaten für automatisierte Arbeitsabläufe liegen können. Die möglichen Folgen reichen deshalb über einen vorübergehenden Ausfall hinaus.
Was die GitLab-Sicherheitslücke ermöglicht
Ursache ist ein Zahlenüberlauf bei der Verarbeitung speziell präparierter regulärer Ausdrücke. Solche Suchmuster dienen normalerweise dazu, Text nach festgelegten Regeln zu erkennen. In diesem Fall kann die Verarbeitung unter bestimmten Bedingungen zur Ausführung fremden Codes führen.
GitLabs technische Beschreibung zur Angriffserkennung verortet den betroffenen Verarbeitungspfad in der Darstellung von Org-mode-Dateien. Das sind Textdateien, die beispielsweise strukturierte Notizen enthalten. Laut Hersteller kann erfolgreicher Schadcode mit den Rechten des Systembenutzers „git“ laufen. Dadurch wären unter anderem Projektbestände, Zugriffstoken und Variablen für automatisierte Build- und Veröffentlichungsprozesse gefährdet.
Diese Versionen schließen den kritischen Fehler
Für die regulär unterstützten Versionszweige stehen GitLab 19.5.1, 19.4.3 und 19.3.6 bereit. Zusätzlich hat das Unternehmen den Fix für CVE-2026-110264 auf 19.2.9, 19.1.9, 19.0.10 und 18.11.13 zurückübertragen. Betroffen sind die jeweiligen Vorgängerversionen; der vom Hersteller genannte Bereich beginnt bereits bei GitLab 7.0.
Der Handlungsbedarf richtet sich an selbstverwaltete Installationen. GitLab.com läuft laut Anbieter bereits mit den Korrekturen. Auch die von GitLab betriebene Dedicated-Infrastruktur ist nach dessen Angaben gepatcht. Ein Team, das ausschließlich diese verwalteten Angebote nutzt, muss das Serverupdate deshalb nicht selbst durchführen.
Ältere Zweige erhalten einen begrenzten Sonderpatch
Die zusätzliche Versorgung älterer Versionen ist eine Ausnahme. GitLabs Wartungsrichtlinie nennt derzeit nur die Zweige 19.5, 19.4 und 19.3 als regulär gepflegt. Der Sonderpatch macht einen älteren Zweig somit nicht wieder zu einer vollständig unterstützten Version.
Das ist auch für den Umfang der Korrekturen wichtig: Die elf weiteren im aktuellen Sicherheitshinweis aufgeführten Schwachstellen sind in 19.3.6, 19.4.3 und 19.5.1 behoben. Die vier älteren Sonderversionen erhalten den Fix gegen die kritische Lücke. Wer auf einem solchen Zweig bleibt, sollte daher zusätzlich den Wechsel auf eine regulär unterstützte Version planen.
Der Patch vom 12. Oktober genügt nicht
Bereits am 12. Oktober hatte GitLab mit 19.4.2, 19.3.5 und 19.2.8 eine andere kritische Lücke in der Verarbeitung regulärer Ausdrücke geschlossen. Diese Versionsstände liegen noch unter den jetzt erforderlichen Korrekturen. Auch nach einem Update in der vergangenen Woche muss der aktuelle Stand deshalb erneut geprüft werden.
Die parallel veröffentlichten PHP2Shell-Korrekturen für Webserver betreffen wiederum eine andere Softwarekomponente. Für Betreiber mehrerer Dienste zählt der Versionsstand jeder einzelnen Anwendung.
Censys meldete in seiner Analyse vom 22. Oktober, dass dem Forschungsteam keine aktive Ausnutzung von CVE-2026-110264 bekannt sei. Das beschreibt den damaligen Beobachtungsstand. Ein fehlender öffentlicher Angriffsbericht bietet keine Gewähr dafür, dass ein erreichbarer, ungepatchter Server unberührt geblieben ist.
Protokolle prüfen und den Updateweg planen
GitLab stellt zwei Erkennungsregeln bereit, die unter anderem auffällige Fehler beim Darstellen von Org-mode-Dateien und Abstürze von Arbeitsprozessen erfassen. Die Dokumentation zur Absturzerkennung warnt ausdrücklich: Ein erfolgreicher Angriff muss keinen Absturz hinterlassen. Die Prüfung der Protokolle ergänzt das Update, kann die Unversehrtheit einer Installation aber nicht allein bestätigen.
Bei älteren Installationen muss außerdem der vorgeschriebene Upgradepfad beachtet werden. GitLab verlangt je nach Ausgangsversion bestimmte Zwischenstände und abgeschlossene Hintergrundmigrationen, bevor der nächste Versionssprung erfolgt. Ein direkter Sprung auf die höchste Versionsnummer ist deshalb nicht für jede Installation der richtige Weg.
Der aktuelle Patch enthält zudem Datenbankmigrationen. Für Installationen auf einem einzelnen Knoten kündigt GitLab eine Unterbrechung während des Updates an. Verantwortliche sollten daher den passenden Zielstand bestimmen, das Wartungsfenster organisieren und nach Abschluss kontrollieren, welche Version tatsächlich läuft. Bei auffälligen Protokolleinträgen gehört zusätzlich eine Untersuchung möglicher Zugriffe dazu.
Stand der Recherche: 23. Oktober 2026, 11:20 Uhr MESZ.
Hauptquellen
- GitLab: Kritische Sicherheitsupdates und betroffene Versionen
- GitLab: Technische Hinweise zur Org-mode-Lücke und Angriffserkennung
- GitLab: Wartungsrichtlinie und unterstützte Versionszweige
- GitLab: Vorgeschriebene Zwischenstände beim Aktualisieren
- Censys: Analyse zu CVE-2026-110264 vom 22. Oktober
Transparenzhinweis: Der Beitrag beruht auf GitLabs Sicherheitsveröffentlichungen und Dokumentation sowie der verlinkten Censys-Analyse. Angaben zur Absicherung der verwalteten Angebote stammen von GitLab. gadgetChecks hat keine eigenen Angriffe nachgestellt und keine einzelnen Server auf Betroffenheit geprüft.
Technik-Deals im Überblick
Ausgewählte Angebote und zeitlich begrenzte Preisaktionen rund um Technik und Gadgets.
Mehr auf gadgetChecks
Entdecke mehr bei gadgetChecks
gadgetChecks Technik
Tests, Kaufberatung, Technik-News, Ratgeber, Streaming und aktuelle Angebote.
Technikmagazin öffnenWas sich für dich ändert
Regeln, Fristen, Kosten und Warnungen mit ihren konkreten Folgen für Verbraucher.
Alltag Aktuell öffnenGames, Plattformen und Deals
Aktuelle Meldungen zu Releases, Konsolen, PC Gaming, Mobile, Studios und Abos.
Gaming öffnenProdukte, Angebote und Ideen
Neues für Küche, Reinigung, Wohnen, Garten und Balkon – verständlich und praktisch eingeordnet.
Zuhause öffnenPflege, Kosmetik und Geräte
Produkte und Wissen für Frauen und Männer – ehrlich getestet und verständlich eingeordnet.
Gepflegt öffnenTraining, Ernährung und Supplements
Sport, Ausrüstung und Nahrungsergänzung – verständlich erklärt und kritisch eingeordnet.
Sport & Supplements öffnen
