GitLab hat am 10. September 2026 ein außerplanmäßiges Notfall-Update ausgerollt und schließt damit eine Schwachstelle mit dem maximalen CVSS-Score von 10,0. Über die Lücke CVE-2026-85706 können unangemeldete Angreifer beliebige Dateien vom Server auslesen – besonders brisant für selbst gehostete Instanzen.
Path Traversal in der Commits-API
Die Schwachstelle steckt in der Repository-Commits-API. Laut GitLab führen eine unzureichende Pfadeingrenzung und eine fehlende Authentifizierungsprüfung dazu, dass ein Angreifer ohne Anmeldung aus dem vorgesehenen Verzeichnis ausbrechen und Systemdateien auslesen kann. Weil weder Zugangsdaten noch eine Nutzerinteraktion nötig sind und der Angriff über das Netzwerk mit geringer Komplexität gelingt, vergibt GitLab die Höchstwertung 10,0.
Diese Versionen sind betroffen
Verwundbar sind Community und Enterprise Edition ab 18.7 bis vor 19.1.8, die 19.2er-Reihe vor 19.2.6 sowie 19.3 vor 19.3.2. GitLab hat die Fixes in den Versionen 19.3.2, 19.2.6 und 19.1.8 gebündelt. GitLab.com wurde bereits gepatcht – wer eine eigene Instanz betreibt, muss selbst zügig aktualisieren.
Angreifer scannen bereits
Sicherheitsfirmen beobachten seit dem 11. September aktive Scans im Netz. Die US-Behörde CISA nahm die Lücke in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) auf und setzte Bundesbehörden eine Frist bis zum 14. September. Betreiber selbst gehosteter Server sollten das Update daher ohne Verzögerung einspielen.
Quellen: GitLab Critical Patch Release 19.3.2, 19.2.6, 19.1.8 (GitLab Docs)
