Die Softwareentwicklungsplattform GitLab hat dringende Sicherheitsupdates veröffentlicht, um eine hochkritische Sicherheitslücke im Regular Expression Compiler (Reguläre-Ausdruck-Compiler) zu beheben. Diese ermöglicht es nicht authentifizierten Angreifern, beliebigen Code aus der Ferne (Remote Code Execution) auf den anfälligen Servern auszuführen.
Die Sicherheitslücke trägt die Kennung CVE-2026-110264 und wurde von einem Sicherheitsforscher mit dem Pseudonym joaxcar über das Bug-Bounty-Programm der HackerOne-Plattform entdeckt. Das Sicherheitsproblem entsteht durch einen Integer Overflow (Ganzzahlüberlauf) innerhalb des Backend-Regulären-Ausdruck-Compilers, der für das Parsen und Validieren von regulären Ausdrücken in Konfigurationsdateien zuständig ist.
Betroffene Versionen und erforderliche Lösungen
Das Unternehmen hat den Fehler in den GitLab Community Edition (CE) und Enterprise Edition (EE) Versionen 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 und 18.11.13 behoben. Das Unternehmen hat alle Benutzer und Administratoren gewarnt, dass eine sofortige Aktualisierung erforderlich ist, um Risiken zu vermeiden.
Das Unternehmen erklärte, dass die Plattform GitLab.com bereits die aktualisierte Version besitzt, während Abonnenten von GitLab Dedicated die Updates in den Versionen nach 19.3.5-internal0 und 19.4.2-internal0 ohne weitere Maßnahmen erhalten haben.
Warum ist diese Nachricht wichtig?
Diese Sicherheitslücke verdeutlicht die zunehmenden Risiken im Zusammenhang mit Komponenten zur Analyse regulärer Ausdrücke in populären Entwicklungsplattformen. Berichte des Threat-Monitoring-Netzwerks Shadowserver deuten darauf hin, dass mehr als 2700 GitLab-Community-Server online exponiert sind. Diese Schwachstelle gewinnt an zusätzlicher Brisanz, da sie kurz nach der Entdeckung anderer kritischer Schwachstellen in derselben Plattform auftritt, darunter die unter CVE-2026-97229 registrierte Lücke, die ebenfalls mit dem Regulären-Ausdruck-Compiler in CI/CD-Systemen (Continuous Integration/Continuous Delivery) zusammenhängt, sowie die vorangegangene Lücke CVE-2026-85706, die von der US-amerikanischen Cybersicherheitsbehörde CISA in tatsächlichen Angriffen ausgenutzt wurde.