Dieser Beitrag wurde mit KI erstellt.
Angreifer nutzen eine kritische Lücke in selbst betriebenen GitLab-Servern aus: CVE-2026-97229, von GitLab mit 10 von 10 Punkten bewertet. Über eine präparierte CI/CD-Konfiguration führen sie Code auf dem Server aus. Laut Shadowserver waren am 02.11.2026 noch mehr als 1.000 erreichbare GitLab-Server ungepatcht. Betreibst du GitLab selbst, aktualisiere es jetzt mindestens auf 19.5.1, 19.4.3, 19.3.6 oder 19.2.9.
Was passiert ist
Der Fehler steckt im Compiler für reguläre Ausdrücke, den GitLab beim Auswerten von CI/CD-Konfigurationen nutzt. Ein Überlauf bei einer Ganzzahl lässt einen präparierten Ausdruck in einer .gitlab-ci.yml Code mit den Rechten des Git-Benutzers ausführen. Betroffen sind die Community Edition und die Enterprise Edition. GitLab hat die Korrektur am 12.10.2026 veröffentlicht. Am 29.10.2026 hat die US-Behörde CISA die Lücke in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen (Rapid7).
Wie ein Angriff abläuft, zeigt das Alpine-Linux-Projekt: Über ein frisch registriertes Konto schickte ein Angreifer am 20. und 21.10.2026 präparierte CI-Konfigurationen an den GitLab-Server des Projekts. Alpine fand keinen Beleg für ausgeführten Code, hat den Server aber als kompromittiert behandelt, neu aufgebaut und alle Passwörter zurückgesetzt (Alpine Linux).
Wer betroffen ist
- Selbst betriebene GitLab-Server: Version 19.2 vor 19.2.8, 19.3 vor 19.3.5 und 19.4 vor 19.4.2. GitLab.com und GitLab Dedicated sind bereits geschützt.
- Die Schwesterlücke CVE-2026-110264: Sie sitzt im selben Compiler, ist ebenfalls mit 10 Punkten bewertet und erst in den Versionen vom 21.10.2026 geschlossen: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 und 18.11.13. Für sie meldet Shadowserver mehr als 11.300 ungepatchte Server; Angriffe sind noch nicht bekannt (Techzine).
- Eigene Builds: Die eigentliche Ursache liegt in Onigmo, der Regex-Bibliothek von Ruby. GitLab korrigiert sie nur in seinen offiziellen Paketen. Wer GitLab aus dem Quellcode oder in einem eigenen Container mit dem Ruby der Distribution betreibt, braucht zusätzlich Ruby 3.3.13, 3.4.12 oder 4.0.9. Bei Alpine hat das GitLab-Update allein die Lücke nicht geschlossen.
- Offene Registrierung: Am leichtesten angreifbar sind Server, auf denen sich jeder ein Konto anlegen und Projekte erstellen kann.
Was du jetzt tun solltest
- Aktualisieren: Spiel eine Version vom 21.10.2026 oder neuer ein, dann sind beide Lücken geschlossen. Die installierte Version zeigt dir
gitlab-rake gitlab:env:info. - Ruby prüfen: Nutzt du kein offizielles Omnibus-Paket oder Docker-Image von GitLab, kontrolliere mit
ruby -vdie Ruby-Version. - Registrierung schließen: Schalte die freie Registrierung ab und erlaube das Anlegen von Projekten nur bekannten Benutzern.
- Spuren suchen: Abstürze der GitLab-Worker, Fehler 502 und fehlgeschlagene Pipelines unbekannter Konten seit Mitte Oktober sind Warnzeichen. Prüfe neue Konten und ungewöhnliche Änderungen an
.gitlab-ci.yml. - Zugangsdaten tauschen: Findest du Hinweise auf einen Angriff, ersetze Passwörter, Zugriffstoken, Runner-Tokens und die in CI/CD-Variablen hinterlegten Schlüssel, und setze den Server neu auf.
So helfen wir dir
Auf unserer KI-Entwicklungsplattform läuft dein Projekt auf GitLab-Infrastruktur, die wir betreiben und pflegen – Pipelines, Test- und Live-Umgebung eingeschlossen. Mit dem KI-Code-Review prüfen automatische Tests und Sicherheitsscans jede Änderung, bevor sie live geht. Betreibst du GitLab auf einem eigenen Server bei dir oder in unserem Rechenzentrum, aktualisieren und überwachen wir ihn mit der IT-Betreuung & Monitoring. Läuft GitLab bei dir auf Linux, denk auch an die Kernel-Lücke CVE-2026-98432.
Du willst wissen, ob dein GitLab-Server betroffen ist? Schreib uns an support@baebeca.de oder ruf an unter 02261-81616-0 – wir prüfen deine Installation mit dir.