Hacker nutzen GitLab-Schwachstelle mit maximalem Schweregrad aus

CISA hat davor gewarnt, dass Hacker aktiv eine GitLab-Schwachstelle mit maximalem Schweregrad ausnutzen. Die Schwachstelle ermöglicht es nicht authentifizierten Angreifern, Zugangsdaten, Geheimnisse und andere sensible Dateien von anfälligen Servern auszulesen.

Das als CVE-2026-85706 verfolgte Sicherheitsproblem betrifft GitLab Community Edition und Enterprise Edition. Administratoren sollten die verfügbaren Updates sofort installieren und ihre Protokolle auf Anzeichen einer Ausnutzung überprüfen.

GitLab-Schwachstelle legt sensible Serverdateien offen

CVE-2026-85706 kombiniert eine fehlende Durchsetzung der Authentifizierung mit einer unzureichenden Pfadbeschränkung in der Repository-Commits-API. Dadurch können entfernte Angreifer die Schwachstelle ausnutzen, ohne sich anzumelden.

Ein erfolgreicher Angriff ermöglicht es Hackern, mit einer einzigen HTTP-Anfrage beliebige Dateien von einem betroffenen GitLab-Server auszulesen. Diese Dateien können Zugangsdaten, Zugriffstoken, Konfigurationsdetails und andere vertrauliche Informationen enthalten.

Die DevSecOps-Plattform von GitLab hat weltweit mehr als 30 Millionen registrierte Nutzer. Darüber hinaus nutzen Berichten zufolge mehr als die Hälfte der Fortune-100-Unternehmen die Plattform. Eine weitverbreitete Ausnutzung könnte daher zahlreiche hochwertige Unternehmensumgebungen betreffen.

Die Schwachstelle erhielt die höchstmögliche Schweregradbewertung. Ihre geringe Angriffskomplexität und das Fehlen von Authentifizierungsanforderungen machen öffentlich erreichbare Server zu besonders attraktiven Zielen.

Angreifer durchsuchen das Internet nach anfälligen Servern

GitLab behob die Schwachstelle in den Versionen 19.3.2, 19.2.6 und 19.1 der Community Edition und Enterprise Edition. Das Unternehmen forderte Kunden außerdem dazu auf, ihre Installationen sofort zu aktualisieren.

Einen Tag nach Veröffentlichung der Patches entdeckte das Cybersicherheitsunternehmen watchTowr Angreifer, die das Internet nach anfälligen GitLab-Servern durchsuchten. Forscher warnten davor, dass eine wahllose Ausnutzung wahrscheinlich schnell folgen würde.

GitLab hatte die Schwachstelle zu diesem Zeitpunkt noch nicht offiziell als aktiv ausgenutzt eingestuft. Die beobachteten Scans zeigten jedoch, dass Angreifer bereits mit der Suche nach ungepatchten Systemen begonnen hatten.

Verantwortliche sollten ihre Serverprotokolle auf verdächtige HTTP-POST-Anfragen überprüfen, die auf die Repository-Commits-API abzielen. Insbesondere können Anfragen mit ungewöhnlichen file.path-Parametern auf einen Ausnutzungsversuch hindeuten.

CISA nimmt Schwachstelle in Liste ausgenutzter Sicherheitslücken auf

CISA nahm CVE-2026-85706 am 11. September in seinen Known Exploited Vulnerabilities-Katalog auf. Die Entscheidung der Behörde bestätigt, dass Angreifer die GitLab-Schwachstelle bei realen Angriffen eingesetzt haben.

Gemäß Binding Operational Directive 26-04 erhielten zivile US-Bundesbehörden drei Tage Zeit, um betroffene Systeme abzusichern. Diese Anforderung gilt speziell für Bundesorganisationen.

CISA forderte dennoch auch private Unternehmen und andere Netzwerkverteidiger dazu auf, das Update zu priorisieren. Die Behörde warnte davor, dass Schwachstellen dieser Art böswilligen Akteuren häufig einen Einstiegspunkt bieten.

Organisationen sollten außerdem davon ausgehen, dass offengelegte Geheimnisse kompromittiert worden sein könnten, wenn Angreifer auf einen anfälligen Server zugegriffen haben. Die Reaktion auf den Vorfall kann daher neben der Installation des Patches auch den Austausch von Zugangsdaten und Zugriffstoken erfordern.

GitLab steht weiterhin im Fokus der Sicherheitsforschung

Die jüngsten Angriffe folgen auf mehrere andere schwerwiegende Sicherheitsprobleme bei GitLab. Im Januar behob das Unternehmen eine Schwachstelle mit hohem Schweregrad, die es Angreifern ermöglichte, die Zwei-Faktor-Authentifizierung zu umgehen, wenn sie die Konto-ID des Ziels kannten.

Seit November 2021 hat CISA vier GitLab-Schwachstellen als aktiv ausgenutzt identifiziert. Die Behörde nahm im Februar 2026 zwei ältere Schwachstellen, CVE-2021-22175 und CVE-2021-39935, in ihren Katalog auf.

Administratoren sollten anfällige GitLab-Installationen unverzüglich aktualisieren. Darüber hinaus sollten sie API-Protokolle überprüfen, verdächtige Dateizugriffsversuche untersuchen und alle Geheimnisse ersetzen, die Angreifer möglicherweise offengelegt haben.