GitLab hat seine Nutzer vor einer kritischen Sicherheitslücke mit dem höchsten Schweregrad in der Komponente CI/CD Regular Expression Compiler gewarnt. Sie könnte es einem entfernten, nicht authentifizierten Angreifer ermöglichen, beliebigen Code auf einem angegriffenen GitLab-Server auszuführen. Die Sicherheitslücke trägt die Nummer CVE-2026-97229. Entdeckt wurde sie von einem Sicherheitsforscher, der das Pseudonym joaxcar verwendet und sie über das Bug-Bounty-Programm bei HackerOne gemeldet hat.
Wie funktioniert die Sicherheitslücke?
Das Problem steht im Zusammenhang mit einer Schwachstelle vom Typ Integer-Overflow innerhalb des Compilers für reguläre Ausdrücke. Dabei handelt es sich um die Komponente, die reguläre Ausdrücke in Konfigurationsdateien von CI/CD-Pipelines analysiert, kompiliert und auswertet. Laut einer Mitteilung von GitLab kann die unzureichende Validierung regulärer Ausdrücke unter bestimmten Umständen über einen speziell präparierten Ausdruck in den CI/CD-Einstellungen ausgenutzt werden. Dadurch könnte ein nicht authentifizierter Nutzer Code auf einem GitLab-Server ausführen.
Betroffene Versionen und Updates
GitLab hat das Problem in den Versionen Community Edition und Enterprise Edition in den folgenden Versionen behoben:
- Version 19.2.8 oder neuer statt Versionen vor 19.2.8.
- Version 19.3.4 oder neuer statt Versionen vor 19.3.4.
- Version 19.4.2 oder neuer statt Versionen vor 19.4.2.
Das Unternehmen empfiehlt allen Nutzern selbst gehosteter GitLab-Installationen, umgehend auf eine dieser Versionen zu aktualisieren. Diese enthalten außerdem Fehlerbehebungen und Sicherheitsupdates. Der Dienst GitLab.com läuft bereits mit der korrigierten Version. Kunden von GitLab Dedicated müssen laut dem Unternehmen keine Maßnahmen ergreifen.
Warum ist diese Nachricht wichtig?
Die Bedeutung der Sicherheitslücke liegt darin, dass für ihre Ausnutzung keine Authentifizierung erforderlich ist. Ein erfolgreicher Angriff könnte zur Ausführung von Code auf einem Server führen, der Projekte und CI/CD-Pipelines hostet. Der praktische Schwerpunkt der Betroffenheit liegt daher in Umgebungen, die GitLab selbst verwalten, und nicht bei Nutzern von GitLab.com oder GitLab Dedicated, soweit die verfügbaren Informationen zeigen.
Diese Behebung folgt auf eine Reihe von Sicherheitslücken, die GitLab in den vergangenen Monaten geschlossen hat. Im Januar behob das Unternehmen eine schwerwiegende Sicherheitslücke zur Umgehung der Zwei-Faktor-Authentifizierung mit der Nummer CVE-2026-0723. Im vergangenen Monat behob es eine weitere Sicherheitslücke mit dem höchsten Schweregrad, CVE-2026-85706, die es nicht authentifizierten Angreifern ermöglichte, sensible Daten, darunter Zugangsdaten und Geheimnisse, von betroffenen Servern auszulesen.
Die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) nahm die Sicherheitslücke CVE-2026-85706 einen Tag nach ihrer Behebung in ihren Katalog der bekannten, in der Praxis ausgenutzten Sicherheitslücken auf und forderte Bundesbehörden auf, ihre Systeme innerhalb von drei Tagen abzusichern. Die veröffentlichten Informationen wiesen außerdem darauf hin, dass die CISA seit November 2021 die Ausnutzung von fünf GitLab-Sicherheitslücken in Angriffen beobachtet hat, darunter eine Sicherheitslücke, die von Gruppen für Ransomware-Angriffe genutzt wurde.
Die Quelle belegt nicht, dass die neue Sicherheitslücke CVE-2026-97229 bisher tatsächlich ausgenutzt wurde. Die bestätigte Maßnahme bleibt daher die umgehende Aktualisierung selbst gehosteter Versionen sowie die Überprüfung der entsprechenden CI/CD-Einstellungen.