GitLab-RCE-Schwachstelle gefährdet mehr als 1.000 Server

Eine kritische GitLab-Schwachstelle zur Remote-Codeausführung ist auf mehr als 1.000 über das Internet erreichbaren Servern weiterhin ungepatcht, obwohl bereits aktive Angriffe stattfinden. Shadowserver meldete die Gefährdung, nachdem GitLab am 12. Oktober Sicherheitsupdates veröffentlicht hatte. Für Administratoren besteht daher dringender Handlungsbedarf.

GitLab-RCE-Schwachstelle betrifft die Verarbeitung von Pipeline-Konfigurationen

Die unter CVE-2026-97229 erfasste Schwachstelle beruht auf einem Integer-Überlauf im CI/CD Regular Expression Compiler von GitLab. Diese Komponente verarbeitet reguläre Ausdrücke innerhalb von Pipeline-Konfigurationsdateien. Unter bestimmten Bedingungen kann ein nicht authentifizierter Angreifer einen manipulierten Ausdruck übermitteln und beliebigen Code auf dem Server ausführen.

GitLab führte das Problem auf eine unzureichende Validierung regulärer Ausdrücke zurück. Das Unternehmen veröffentlichte drei Wochen vor dem jüngsten Bericht über die Gefährdung Korrekturen für die Community Edition und die Enterprise Edition. Die Ergebnisse von Shadowserver zeigen jedoch, dass mehr als 1.000 öffentlich erreichbare Installationen weiterhin keinen Schutz gegen diese Schwachstelle bieten.

Die Sicherheitsupdates vom 12. Oktober behoben die Schwachstelle in folgenden Versionen:

GitLab-Versionszweig	Korrigierte Version
19.4	19.4.2
19.3	19.3.5
19.2	19.2.8

GitLab forderte Administratoren selbstverwalteter Installationen auf, umgehend ein Upgrade durchzuführen. Gleichzeitig erklärte das Unternehmen, dass GitLab.com zum Zeitpunkt der Bekanntgabe bereits eine gepatchte Version verwendete. Außerdem seien für Kunden von GitLab Dedicated keine Maßnahmen erforderlich.

CISA bestätigt aktive Ausnutzung

CISA nahm CVE-2026-97229 in seinen Katalog bekannter aktiv ausgenutzter Schwachstellen, den Known Exploited Vulnerabilities Catalogue, auf, nachdem die Behörde die Ausnutzung bei tatsächlichen Angriffen bestätigt hatte. Darüber hinaus wies sie US-Bundesbehörden an, betroffene Server innerhalb der vorgeschriebenen Frist abzusichern. Damit stellt die Schwachstelle eine nachgewiesene operative Bedrohung dar und nicht nur ein theoretisches Angriffsszenario.

Shadowserver veröffentlichte seine neuesten Zahlen am Wochenende und bestätigte sie am Sonntag erneut. Die Überwachung der Organisation identifizierte mehr als 1.000 Instanzen, die für die GitLab-RCE-Schwachstelle anfällig waren. Diese Zahl erfasst jedoch lediglich exponierte und verwundbare Installationen. Sie zeigt nicht, wie viele davon Angreifer tatsächlich erfolgreich kompromittiert haben.

Die weiterhin bestehende Gefährdung ist erheblich, da GitLab-Umgebungen die Softwareentwicklung und automatisierte Bereitstellungsprozesse unterstützen. Eine unautorisierte Codeausführung könnte Angreifern Zugriff auf die Ressourcen des betroffenen Servers verschaffen. Der vorliegende Bericht nennt jedoch keine konkreten Opfer und beschreibt auch nicht die Ergebnisse einzelner Angriffe.

Separate Schwachstelle betrifft mehr als 11.300 Instanzen

Shadowserver meldete außerdem mehr als 11.300 Instanzen, die für CVE-2026-110264 anfällig sind. Diese separate Schwachstelle mit dem höchsten Schweregrad betrifft ebenfalls den Regular Expression Compiler und kann die Ausführung beliebigen Codes ermöglichen. GitLab behob sie mit einem weiteren Sicherheitsupdate im vergangenen Monat.

Die Überwachungsorganisation beobachtet täglich rund 39.000 GitLab-Instanzen. Allerdings können sich die beiden Zahlen zu anfälligen Systemen überschneiden. Daher sollten sie nicht zu einer Gesamtzahl unterschiedlicher Server addiert werden. Dennoch verdeutlichen die Ergebnisse, dass erhebliche Lücken bei der Installation von Sicherheitsupdates auch über die derzeit von CISA gelistete Schwachstelle hinaus bestehen.

Frühere GitLab-Schwachstellen weckten ebenfalls das Interesse von Angreifern

GitLab hat im Laufe des Jahres 2026 mehrere weitere schwerwiegende Schwachstellen behoben. Im Januar schloss das Unternehmen CVE-2026-0723, eine Sicherheitslücke mit hohem Schweregrad, die eine Umgehung der Zwei-Faktor-Authentifizierung ermöglichen konnte. Später korrigierte es CVE-2026-85706, eine Path-Traversal-Schwachstelle mit dem höchsten Schweregrad in der API für Repository-Commits.

Angreifer konnten die im September bekannt gewordene Schwachstelle ausnutzen, um Zugangsdaten und andere vertrauliche Informationen zu erlangen. CISA stufte sie anschließend als aktiv ausgenutzt ein, nachdem Sicherheitsforscher Scanaktivitäten gemeldet hatten. Seit November 2021 hat die Behörde sechs GitLab-Schwachstellen in ihren Katalog aufgenommen, darunter eine, die mit Ransomware-Angriffen in Verbindung gebracht wurde.