Sicherheitswarnungen · 21. Oktober 2026
GitLab: Selbst betriebene Server lassen sich ohne Anmeldung übernehmen
Ein Fehler in der Verarbeitung regulärer Ausdrücke erlaubt es Angreifern, auf selbst betriebenen GitLab-Servern ohne Anmeldung eigenen Code auszuführen. Updates sind verfügbar.
Worum es geht
GitLab CE/EE (selbst betrieben)
GitLab ist eine verbreitete Plattform für Quellcode, Projektverwaltung und automatische Software-Auslieferung, die viele Firmen auf eigenen Servern betreiben. Betroffen ist ein Baustein, der Suchmuster (sogenannte reguläre Ausdrücke) verarbeitet. Ein gezielt präpariertes Muster bringt einen Zähler zum Überlaufen. Dadurch kann ein Angreifer aus der Ferne und ohne Konto Programmcode auf dem Server starten.
Damit hätte er Zugriff auf den gesamten Quellcode, auf hinterlegte Kennwörter und Schlüssel sowie auf die angebundenen Systeme. Der Fehler reicht bis zu Version 7.0 aus dem Jahr 2014 zurück. Eine Ausnutzung ist bisher nicht bekannt. Wer nur das GitLab-Update vom 12. Oktober eingespielt hat, ist noch nicht geschützt.
Die Cloud-Variante GitLab.com wurde vom Hersteller bereits abgesichert. Handlungsbedarf besteht bei allen Installationen im eigenen Haus oder beim eigenen Hoster.
Betroffen
- GitLab Community Edition und Enterprise Edition ab Version 7.0, selbst betrieben
Behoben
- GitLab 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 und 18.11.13
Was jetzt zu tun ist
Die nächsten Schritte.
- 01
Die eingesetzte GitLab-Version in der Verwaltungsoberfläche nachsehen.
- 02
Ein aktuelles Backup des Servers anlegen.
- 03
Auf die korrigierte Version des eigenen Versionszweigs aktualisieren. Bei 19.4.3 und 19.3.6 laufen dabei Datenbank-Umstellungen, daher eine kurze Wartungszeit einplanen.
- 04
Ist ein sofortiges Update nicht möglich, den Server vorübergehend nur aus dem internen Netz oder über VPN erreichbar machen.
- 05
Nach dem Update die Server-Protokolle auf ungewöhnliche Abstürze oder unbekannte Zugriffe prüfen.
Unterstützung
Unsicher, ob Sie betroffen sind?
Wir prüfen Ihre Systeme, spielen die Updates ein und suchen nach Spuren eines Angriffs. Sie bekommen eine klare Antwort: betroffen oder nicht. Betreuungskunden müssen nichts tun, wir kümmern uns bereits darum.
Veröffentlicht am 21. Oktober 2026. Grundlage: SecurityOnline · IT-Connect. Von uns in eigenen Worten zusammengefasst; verbindlich sind die Hinweise des Herstellers. Alle Sicherheitswarnungen
Passend dazu