GitLab GraphQL-Code-Injection-Schwachstelle

Eine GitLab GraphQL-Code-Injection-Schwachstelle wird bereits aktiv ausgenutzt — reproduziert und angegriffen innerhalb von Minuten nach GitLabs Offenlegung von CVE-2026-19478 am 17. August 2026. Die unauthentifizierte Lücke (CVSS 9.4) erlaubt es Angreifern, öffentliche Projekte auf jeder ungepatchten selbst gehosteten GitLab-Instanz zu löschen, gefälschte Fix-Datensätze zu erzeugen oder Maintainer auszusperren. GitLab.com und GitLab Dedicated liefen bereits vor der Offenlegung auf der gepatchten Version.

Was ist passiert

Diese GitLab GraphQL-Code-Injection-Schwachstelle wurde am 17. August 2026 außerplanmäßig gepatcht, vor dem regulären zweiwöchentlichen Release-Zyklus. Sie erlaubt Code-Injection über eine GraphQL-Direktive: Eine einzige unauthentifizierte HTTP-Anfrage gegen den betroffenen Endpunkt kann öffentlich zugängliche GitLab-Projekte verändern oder löschen und deren Daten umschreiben — ohne Zugangsdaten, ohne Benutzerinteraktion, ohne ungewöhnliche Konfiguration. Forscher von watchTowr bestätigten, dass sie den Exploit innerhalb von Minuten nach der Offenlegung reproduzierten und echte Angriffsversuche gegen ihr Honeypot-Netzwerk beobachteten — kein Proof-of-Concept-Scanning, sondern tatsächlicher Angriffsverkehr.

Betroffen sind GitLab Community Edition (CE) und Enterprise Edition (EE) 18.2 vor 18.11.11, 19.0 vor 19.0.8, 19.1 vor 19.1.6 sowie 19.2 vor 19.2.4. Fixes liegen in 19.2.4, 19.1.6, 19.0.8 und 18.11.11 vor. Eine zweite, weniger schwerwiegende Lücke im selben Release, CVE-2026-19650 (CVSS 7.1, Cross-Site-Request-Forgery im GraphQL-Multiplex-Query-Handler), erfordert Benutzerinteraktion und wird nach aktuellem Stand nicht aktiv ausgenutzt. Beide Schwachstellen wurden über GitLabs HackerOne-Bug-Bounty-Programm gemeldet.

Laut dem leitenden watchTowr-Forscher reicht die Auswirkung über das Löschen von Projekten hinaus: Angreifer können auch Merge-Datensätze fälschen, um einen nicht erfolgten Fix vorzutäuschen, und Projekt-Maintainer aussperren. Unternehmen sollten Webserver-Logs nach Anfragen mit der Zeichenfolge @gl_introduced durchsuchen — der Signatur, die watchTowr mit Ausnutzungsversuchen in Verbindung bringt.

Warum das wichtig ist

Selbst gehostetes GitLab CE/EE ist bei deutschen Entwicklerteams eine Standardwahl, die Quellcode, CI/CD-Secrets und Build-Pipelines aus Gründen des geistigen Eigentums oder der Compliance on-premises statt bei GitLab.com betreiben. Diese Population trägt die gesamte Patch-Management-Last selbst, ohne einen herstellergesteuerten Update-Zyklus als Rückfallebene. watchTowr rahmt das Zeitfenster von Minuten statt Tagen als strukturelle Verschiebung, nicht als Einzelfall: KI-gestützte Schwachstellenreproduktion verkürzt die Lücke zwischen Offenlegung und Massenausnutzung so weit, dass „Patchen im nächsten Wartungsfenster“ für kein internetzugängliches selbst gehostetes Tool mehr vertretbar ist.

Was Sie jetzt tun sollten

1. Sofortmaßnahme: Selbst gehostetes GitLab CE/EE auf 19.2.4, 19.1.6, 19.0.8 oder 18.11.11 aktualisieren, je nach aktueller Release-Linie — nicht auf das nächste geplante Wartungsfenster warten.
2. Prüfen: Ihre Instanzversion gegen die oben genannten betroffenen Bereiche abgleichen; GitLab.com- und GitLab-Dedicated-Kunden müssen nichts unternehmen.
3. Mitigieren: Falls ein sofortiges Patchen nicht möglich ist, unauthentifizierten Zugriff auf den Endpunkt /api/graphql blockieren oder die öffentliche Sichtbarkeit von Repositories vorübergehend vollständig entfernen.
4. Monitoring: Webserver- und Anwendungslogs nach Anfragen mit @gl_introduced durchsuchen und die jüngste Merge-Historie sowie Maintainer-Berechtigungen auf unerklärte Änderungen prüfen.

DIESEC Einschätzung

Dies ist der fünfte Fall, den wir 2026 im Muster „selbst gehostete Entwickler-Infrastruktur“ verfolgt haben, nach Gogs/Gitea (Mai), einer zweiten Gitea-Lücke (Juli), GitLabs eigenem früheren „Oj Spill“-Bug (Juli) und JetBrains TeamCity (August). Quellcode-Hosting wird weiterhin wie Hintergrund-Infrastruktur behandelt statt wie das hochwertige, internetzugängliche Ziel, das es tatsächlich ist — und das schrumpfende Zeitfenster zwischen Offenlegung und Ausnutzung macht diese Lücke bei jeder Wiederholung teurer.

Nicht sicher, ob Ihre selbst gehostete GitLab-Instanz einen gepatchten Build läuft oder wie exponiert Ihre GraphQL-API tatsächlich ist? Kontaktieren Sie DIESEC für eine schnelle Expositions-Analyse Ihrer selbst gehosteten Entwickler-Infrastruktur.

Quellen: The Hacker News | Help Net Security
Veröffentlicht: 2026-08-27 | Kategorie: Tägliche News | ~4 Min. Lesezeit