GitLab CVE-2026-110264: Codeausführung ohne Anmeldung

Worum es geht

Läuft in Ihrem Betrieb ein eigener GitLab-Server, und wenn ja, in welcher Version? Diese Frage sollten Sie jetzt klären. GitLab ist eine Plattform für Quellcode und Softwareentwicklung. Der Hersteller hat eine Lücke in GitLab CE/EE behoben, die unter bestimmten Bedingungen einer unangemeldeten Person erlaubt hätte, Programmcode auf dem GitLab-Server auszuführen (Codeausführung aus der Ferne). Die Ursache liegt in der Verarbeitung eines speziell gebauten regulären Ausdrucks. Das ist ein Suchmuster, das Programme zum Prüfen oder Finden von Text nutzen.

Die CVE hat die Kennung CVE-2026-110264. Gemeldet wurde sie nach Angaben des Herstellers über sein HackerOne-Programm.

Sind Sie betroffen, und wo läuft GitLab im Mittelstand?

Betroffen sind laut Hersteller alle Versionen ab 7.0 vor 18.11.13, 19.0 vor 19.0.10, 19.1 vor 19.1.9, 19.2 vor 19.2.9, 19.3 vor 19.3.6, 19.4 vor 19.4.3 und 19.5 vor 19.5.1. Das betrifft Community Edition (CE) und Enterprise Edition (EE). Die Versionsnummer finden Sie in der Weboberfläche im Hilfe-Menü, Administratoren sehen sie auch im Admin-Bereich. Liegt Ihr Stand unter dem reparierten Stand Ihres Versionsstrangs, ist die Instanz verwundbar.

Typischerweise betreiben Softwareentwickler, IT-Abteilungen und Dienstleister GitLab selbst, oft auf einem eigenen Server oder als Container im Firmennetz. Gerade solche Instanzen werden gern vergessen, weil sie einmal aufgebaut wurden und dann ohne feste Betreuung laufen. Fragen Sie auch bei Ihrem Dienstleister oder Ihrer Entwicklungsabteilung nach, ob irgendwo ein GitLab im Einsatz ist. Nutzen Sie nur GitLab.com, müssen Sie nichts tun, denn laut Hersteller ist die Plattform bereits gepatcht. Dasselbe gilt für GitLab Dedicated.

Wie die Schwachstelle funktioniert

Beim Übersetzen eines regulären Ausdrucks in eine ausführbare Form rechnet das Programm mit Zahlen für Größen und Längen. Ein Angreifer kann einen Ausdruck so gestalten, dass eine solche Zahl über ihren Höchstwert hinausläuft (Ganzzahlüberlauf, CWE-190). Das Programm rechnet dann mit einem falschen Wert und schreibt oder liest an der falschen Stelle im Speicher. Im ungünstigen Fall führt das zu fremdem Code auf dem Server.

Der Angriff geht laut Datensatz über das Netzwerk, ohne Anmeldung und ohne Zutun eines Nutzers. Der Hersteller nennt die Voraussetzung nur als "unter bestimmten Bedingungen". Welche das sind, steht in den gelesenen Quellen nicht. Der Hersteller stellt für selbst betriebene Instanzen zwei Erkennungsregeln bereit, die auf einen abgestürzten Arbeitsprozess und auf gehäufte Darstellungsfehler achten. Ob Ihr IT-Team sie einsetzen kann, hängt von dessen Überwachung ab.

Einordnung der Kennzahlen

Die Lücke erreicht den Höchstwert 10,0 nach CVSS 3.1. Das ist eine Skala von 0 bis 10 für die technische Schwere. Der Wert ist so hoch, weil der Angriff aus der Ferne gelingt, keine Anmeldung braucht und auch andere Systeme als das angegriffene beeinflussen kann (Vektor mit Scope Changed). Vertraulichkeit, Integrität und Verfügbarkeit sind jeweils stark betroffen.

Die Ausnutzungswahrscheinlichkeit nach EPSS liegt bei 0,51 Prozent in den nächsten 30 Tagen (Perzentil 42). Bei der CISA taucht die CVE in der Sammlung bereits ausgenutzter Lücken nicht auf. Eine Ausnutzung ist uns also nicht belegt. Wegen der Schwere und der Empfehlung des Herstellers raten wir dennoch zu raschem Handeln. Die konkreten Schritte finden Sie im Block "Mögliche Lösung", die Eckdaten in der Kurzinfo weiter unten. ByePast kann bei der Inventur Ihrer GitLab-Instanzen und beim Update unterstützen.