In GitLab klafft eine kritische Sicherheitslücke: CVE-2026-19478 (CVSS 9,4) erlaubt es nicht angemeldeten Angreifern aus der Ferne, öffentliche Projekte und Nutzerdaten zu verändern oder zu löschen. Die Lücke wird bereits aktiv ausgenutzt.
Was die Lücke so gefährlich macht
Es handelt sich um eine Code-Injection über eine GraphQL-Directive – ganz ohne Login, ohne Nutzerinteraktion und ohne besondere Konfiguration. Angreifer können damit Repositories umschreiben, Merge-Einträge fälschen, Maintainer sperren und ganze Projekte löschen.
Jetzt patchen
Behoben ist der Fehler in den Versionen 19.2.4, 19.1.6, 19.0.8 und 18.11.11. Alle selbst gehosteten GitLab-Installationen sollten umgehend aktualisiert werden; GitLab.com und GitLab Dedicated laufen bereits gepatcht. Angreifer begannen rund zwei Tage nach der Veröffentlichung mit der Ausnutzung – die Lücke war binnen Minuten reproduzierbar. Wer noch nicht patchen konnte, sollte die Web-Logs nach Anfragen mit @gl_introduced durchsuchen.
Quellen: Help Net Security, SecurityWeek.
