GitLab-Lücke erlaubt Angriffe ohne Anmeldung : GraphQL-Schwachstelle bedroht öffentliche Projekte und Nutzerdaten in selbst verwalteten Instanzen
Ein ungepatchter GitLab-Server kann zum Angriffsziel werden, ohne dass Täter Zugangsdaten benötigen: Eine kritische Schwachstelle in der GraphQL-Verarbeitung ermöglicht unter bestimmten Bedingungen Änderungen oder sogar das Löschen öffentlicher Projekte und Nutzerdaten. GitLab reagierte mit einem außerplanmäßigen Sicherheitsupdate.
GitLab hat am 17. August 2026 mehrere Patches für Community Edition (CE) und Enterprise Edition (EE) veröffentlicht, um die kritische Schwachstelle CVE-2026-19478 zu schließen. Mit einem Wert von 9,4 im Common Vulnerability Scoring System (CVSS) erreicht die Lücke nahezu die höchste Risikostufe. Besonders brisant: Ein Angriff ist über das Netzwerk ohne Benutzerkonto, ohne vorherige Rechte und ohne Interaktion eines Opfers möglich.
Das Update erschien außerhalb des üblichen GitLab-Rhythmus und nur wenige Tage nach den regulären Sicherheitskorrekturen vom August. Betroffen sind ausschließlich selbst verwaltete Installationen. GitLab.com und GitLab Dedicated laufen nach Angaben des Unternehmens bereits mit korrigierter Software.
GraphQL-Direktive als Einfallstor
GitLab bezeichnet CVE-2026-19478 als Code-Injection-Schwachstelle in einer GraphQL-Direktive. Über GraphQL können Anwendungen gezielt Daten von einem Server abrufen oder dort Änderungen anstoßen. Eine Direktive ist dabei eine zusätzliche Steueranweisung innerhalb einer solchen Anfrage, die beeinflusst, wie der Server sie verarbeitet. Die Schwachstelle führt offenbar dazu, dass speziell präparierte GraphQL-Anfragen diese Verarbeitung missbrauchen können. Unter bestimmten Bedingungen lassen sich dadurch öffentliche Projekte oder Nutzerdaten verändern oder sogar löschen.
Genau dort liegt das Problem: „Unter bestimmten Bedingungen könnte ein Benutzer, ohne dass er bei GitLab angemeldet sein muss, über eine GraphQL-Direktive öffentliche Projekte und Nutzerdaten aus der Ferne verändern oder sogar löschen“, erklärt GitLab.
Welche Direktive betroffen ist und welche Bedingungen für einen erfolgreichen Angriff erfüllt sein müssen, veröffentlicht das Unternehmen derzeit nicht. Der CVSS-Vektor AV:N/AC:L/PR:N/UI:N liefert jedoch wichtige Hinweise: Der Angriff funktioniert aus der Ferne, besitzt laut Bewertung eine geringe Angriffskomplexität, benötigt keine Benutzerrechte und erfordert keinerlei Benutzerinteraktion. Bei erfolgreicher Ausnutzung drohen vor allem schwere Schäden an Integrität und Verfügbarkeit der Daten.
Diese GitLab-Versionen sind betroffen
Administratoren selbst betriebener CE- und EE-Systeme sollten ihre Version unmittelbar prüfen. Verwundbar sind:
- alle Versionen ab 18.2 bis vor 18.11.11
- 19.0 bis vor 19.0.8
- 19.1 bis vor 19.1.6
- 19.2 bis vor 19.2.4
Die Sicherheitskorrekturen stehen in 18.11.11, 19.0.8, 19.1.6 und 19.2.4 bereit. Für die älteren Zweige 18.2 bis 18.10 existieren damit innerhalb dieser Versionslinien keine korrigierten Releases; entsprechende Installationen müssen auf einen unterstützten Patchstand wechseln. GitLab rät Betreibern selbst verwalteter Installationen, das Update möglichst schnell einzuspielen. Das soll auch in größeren Umgebungen vergleichsweise unkompliziert möglich sein: Da keine Änderungen an der Datenbankstruktur erforderlich sind, können Systeme mit mehreren GitLab-Servern voraussichtlich ohne Betriebsunterbrechung aktualisiert werden.
Zweite GraphQL-Lücke ermöglicht unerwünschte Mutationen
Das außerplanmäßige Update beseitigt außerdem CVE-2026-19650. Die mit CVSS 7,1 als „High“ eingestufte Cross-Site-Request-Forgery-Schwachstelle (CSRF) betrifft den GraphQL-Multiplex-Query-Handler. Multiplexing ermöglicht es, mehrere GraphQL-Abfragen gemeinsam zu verarbeiten.
Aufgrund einer unzureichenden Prüfung von HTTP-Anfragen konnten nicht authentifizierte Angreifer unter bestimmten Bedingungen sogenannte Mutationen über GET-Requests auslösen. GraphQL-Mutationen sind Operationen, die Daten verändern – vergleichbar mit schreibenden API-Aufrufen. Anders als CVE-2026-19478 setzt dieser Angriff allerdings eine Interaktion eines Benutzers voraus.
Schnelles Patchen vor Veröffentlichung technischer Details
GitLab veröffentlicht technische Details zu Sicherheitslücken erst mit zeitlichem Abstand. So sollen Betreiber genügend Zeit erhalten, ihre Systeme zu aktualisieren, bevor genaue Informationen zur Schwachstelle Angreifern die Entwicklung funktionierender Exploits erleichtern.
Bei CVE-2026-19478 sollten Administratoren diese Frist nicht ausreizen: Öffentliche GitLab-Instanzen sind unmittelbar aus dem Internet erreichbar, eine Authentifizierung ist laut CVSS-Bewertung nicht erforderlich und erfolgreiche Angriffe können Daten verändern oder löschen. Betreiber sollten deshalb nicht auf weitere technische Einzelheiten warten, sondern betroffene Systeme direkt auf 18.11.11, 19.0.8, 19.1.6 oder 19.2.4 aktualisieren.