Eine GitLab-Sicherheitslücke mit dem CVSS-Höchstwert 10,0 braucht weder Zugangsdaten noch einen Klick des Opfers. Am 10. September schloss GitLab den Fehler CVE-2026-85706 in der Repository-Commits-API zusammen mit 17 weiteren Schwachstellen.[1] Zuletzt vergab der Hersteller diese Note im Mai 2023. Über die Lücke liest ein Angreifer beliebige Dateien vom Server, in denen die Schlüssel der gesamten Installation liegen.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Das Wichtigste in Kürze
- CVE-2026-85706 erreicht den CVSS-Wert 10,0: unauthentifizierter Lesezugriff auf beliebige Serverdateien über die Repository-Commits-API.
- Betroffen sind GitLab CE und EE von 18.7 bis 19.1.7, 19.2.0 bis 19.2.5 sowie 19.3.0 bis 19.3.1.
- Die Fixes heißen 19.3.2, 19.2.6 und 19.1.8. GitLab.com sowie GitLab Dedicated laufen bereits gepatcht.
- Der Patch schließt 18 Lücken, darunter eine zweite kritische mit dem Wert 9,9 im GraphQL-Serializer.
Warum bewertet GitLab einen reinen Lesezugriff mit 10,0?
Der CVSS-Vektor verrät den Grund. GitLab notiert CVE-2026-85706 mit AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N.[1] Zwei Stellen im Vektor erklären die Höchstnote: S:C steht für einen gewechselten Geltungsbereich, I:H für eine hohe Wirkung auf die Integrität. Beides passt auf den ersten Blick nicht zu einem Lesefehler. Den Ausschlag gibt der Inhalt der lesbaren Dateien. In der Konfiguration einer selbst gehosteten Installation liegen der geheime Basisschlüssel der Anwendung und die Schlüssel für verschlüsselte CI/CD-Variablen. Aus diesem Material lassen sich Sitzungen fälschen und Pipeline-Geheimnisse entschlüsseln. Denselben Höchstwert erreichte in dieser Woche eine Kernel-Lücke bei SAP.
Wo ist GitLab schon einmal an derselben Stelle gescheitert?
Das Muster ist drei Jahre alt. Im Mai 2023 schloss GitLab mit CVE-2023-2825 eine Pfad-Traversierung im Upload-Verzeichnis, gemeldet über dasselbe Bug-Bounty-Programm bei HackerOne und bewertet mit exakt demselben Vektor. Damals funktionierte der Angriff nur bei mindestens fünf verschachtelten Gruppen, diesmal nennt GitLab lediglich „bestimmte Bedingungen“. Die Fehlerklasse bleibt identisch: Ein Pfad aus der Anfrage landet ungeprüft im Dateizugriff. Die Authentifizierung fehlt an derselben Stelle. Erst drei Wochen zuvor hatte CVE-2026-19478 selbst gehostete Server getroffen, dort mit aktiver Ausnutzung binnen weniger Tage.
Eine Zehn im CVSS misst nicht den Schaden an einer einzelnen Datei, sondern die Reichweite der Schlüssel, die in ihr stehen. Selbst gehostete Entwicklungsplattformen gehören deshalb in denselben Patch-Rhythmus wie das Betriebssystem.
— Michael Dobler, Herausgeber Dr. Web
Zentrale Entwicklungs- und Sicherheitssysteme stehen seit Wochen im Fokus. Anfang September machte ein Zero-Day die Schutzsoftware CrowdStrike Falcon selbst zur Angriffsfläche. Kurz darauf setzte die US-Behörde CISA eine Patch-Frist für Lücken bei Cisco, Citrix und Fortinet. Welche Grundlagen ein Mittelständler dagegen braucht, steht in den Cybersecurity-Grundlagen.
Die Commits-API-Lücke CVE-2026-85706 und ihr Umfeld
Bußgeldrahmen: Bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes sieht der Cyber Resilience Act bei Verstößen gegen die Melde- und Sorgfaltspflichten vor.
Was müssen Betreiber im DACH-Raum jetzt tun?
Zwei Pflichten laufen parallel. Seit dem 11. September 2026 gilt Artikel 14 des Cyber Resilience Act, der Verordnung (EU) 2024/2847.[2] Hersteller digitaler Produkte melden aktiv ausgenutzte Schwachstellen binnen 24 Stunden an ENISA und das zuständige CSIRT. Diese Frist bindet GitLab als Hersteller, nicht den Betreiber. Firmen mit einer eigenen Instanz stehen dafür nach Artikel 32 DSGVO in der Pflicht, technische Maßnahmen nach dem Stand der Technik umzusetzen. Nach § 38 BSIG haftet die Geschäftsleitung bei schuldhafter Pflichtverletzung persönlich. Drei Schritte stehen jetzt an:
- Die eigene Version prüfen und auf 19.3.2, 19.2.6 oder 19.1.8 aktualisieren.
- Runner-Token, Deploy-Keys und CI/CD-Variablen rotieren, weil ein Lesezugriff sie offengelegt haben kann.
- Die Zugriffsprotokolle auf ungewöhnliche Aufrufe der Commits-API durchsehen, rückwirkend bis zur ersten betroffenen Version.
Der Patch allein genügt nicht. Ein Lesezugriff hinterlässt in den Standard-Protokollen kaum Spuren. Sind Geheimnisse abgeflossen, bleiben sie auch nach dem Update gültig. Erst die Rotation entwertet sie.
Quellen
[1] GitLab: „GitLab Critical Patch Release: 19.3.2, 19.2.6, 19.1.8“
[2] Amt für Veröffentlichungen der Europäischen Union: „Verordnung (EU) 2024/2847 (Cyber Resilience Act)“
Mehr Newshunger?
- GitLab-Lücke CVE-2026-19478: Der Patch lieferte die Bauanleitung
- OVERPASS: SAP-Kernel-Lücke mit CVSS 10.0 trifft jedes ABAP-System
- Höchstwertung für Ciscos Firewall-Lücke: CISA warnt vor drei Herstellern
- CrowdStrike Falcon: Zero-Day macht die Schutzsoftware zur Angriffsfläche
- TeamViewer: zwei hochriskante Client-Lücken erlauben fremden Code
- Cybersecurity-Glossar 2026: 99 Begriffe von BSI bis Zero Trust
