Folgen GitLab hat dringende Sicherheitsupdates veröffentlicht, die CVE-2026-97229 adressieren, eine Sicherheitslücke mit höchster Dringlichkeit für Remote-Code-Ausführung, die die GitLab Community Edition (CE) und Enterprise Edition (EE) betrifft. Die Schwachstelle hat einen CVSS-Wert von 10,0 und könnte es einem nicht authentifizierten Remote-Angreifer ermöglichen, unter bestimmten Bedingungen beliebigen Code auf einem anfälligen GitLab-Server auszuführen.
Die Sicherheitslücke liegt im CI/CD-Reguläre-Ausdruck-Compiler von GitLab und resultiert aus unzureichender Validierung speziell gestalteter regulärer Ausdrücke. Eine erfolgreiche Ausnutzung könnte die Vertraulichkeit, Integrität und Verfügbarkeit einer GitLab-Umgebung gefährden, ohne dass eine Authentifizierung oder Benutzerinteraktion erforderlich ist.
GitLab hat am 12. Oktober 2026 die gepatchten Versionen 19.2.8, 19.3.4 und 19.4.2 veröffentlicht und fordert die Administratoren von selbstverwalteten Installationen dringend auf, sofort ein Upgrade durchzuführen. GitLab.com verwendet bereits die korrigierte Version, während Kunden von GitLab Dedicated keine zusätzlichen Schritte unternehmen müssen.
Da Quellcode-Management und CI/CD-Infrastruktur sensible Repositories, Zugangsdaten, Bereitstellungsgeheimnisse und Zugang zu Produktionsumgebungen enthalten, können Schwachstellen in GitLab erhebliche Risiken für moderne Software-Lieferketten schaffen.
Sicherheitsteams können ihre Abwehrmechanismen gegen die Ausnutzung neuer Schwachstellen mit der AI-Native Detection Intelligence Platform von SOC Prime stärken, die Bedrohungsjagd und Erkennungstechnik beschleunigt und die Erkennungslogik an die Sicherheitstelemetrie der Organisation anpasst.
CVE-2026-97229-Analyse
CVE-2026-97229 betrifft GitLab CE- und EE-Installationen in den drei derzeit anfälligen Release-Zweigen:
- GitLab 19.2 vor 19.2.8
- GitLab 19.3 vor 19.3.4
- GitLab 19.4 vor 19.4.2
Die Sicherheitslücke wird durch einen Integer-Überlauf im CI/CD-Reguläre-Ausdruck-Compiler verursacht. Diese Komponente verarbeitet reguläre Ausdrücke, die in den Pipeline-Konfigurationen von Projekten verwendet werden. Laut GitLab kann unzureichende Validierung regulärer Ausdrücke einem nicht authentifizierten Angreifer erlauben, einen speziell gestalteten Ausdruck bereitzustellen, der letztendlich zur Ausführung von beliebigem Code auf dem GitLab-Server führt.
GitLab hat der Schwachstelle die maximale CVSS 3.1-Bewertung von 10,0 zugewiesen, mit dem Vektor AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. Dies spiegelt die Schwere einer netzwerkzugänglichen Schwachstelle wider, die weder Authentifizierung noch Benutzerinteraktion erfordert und potenziell hohe Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit haben kann.
Die Schwachstelle ist besonders gefährlich, da GitLab-Server häufig eine hochprivilegierte Position innerhalb der Entwicklungsinfrastruktur einnehmen. Sie können proprietären Quellcode, CI/CD-Variablen, Bereitstellungsanmeldeinformationen, Zugriffstokens, Konfigurationsdateien und Integrationen mit Cloud- und Produktionsumgebungen hosten.
Die Ausführung von beliebigem Code auf dem zugrunde liegenden GitLab-Server könnte Angreifern daher Möglichkeiten bieten, auf sensible Repositories zuzugreifen, Geheimnisse zu extrahieren, Quellcode zu manipulieren, Pipelines zu stören, Persistenz zu etablieren oder kompromittierte Infrastrukturen als Sprungbrett zu zusätzlichen Systemen zu nutzen.
Die Schwachstelle wurde GitLab über ihr HackerOne-Bug-Bounty-Programm von dem Sicherheitsforscher joaxcar gemeldet. GitLab hat das genaue Datum, an dem das Problem ursprünglich entdeckt oder privat gemeldet wurde, nicht öffentlich spezifiziert. Es wurde zusammen mit der kritischen Patch-Veröffentlichung am 12. Oktober 2026 öffentlich bekannt gegeben.
Die Offenlegung folgt auf andere kürzliche Schwachstellen, die die regulären Ausdruck-Verarbeitungskomponenten von GitLab betreffen. Im September 2026 patchte GitLab CVE-2026-93577, einen weiteren Integer-Überlauf im Regulären-Ausdruck-Compiler, sowie CVE-2026-89078, eine Double-Free-Schwachstelle im Regulären-Ausdruck-Parser. Diese früheren Schwachstellen erforderten eine Authentifizierung, während die kürzlich bekannt gewordene Schwachstelle von einem nicht authentifizierten Angreifer unter den von GitLab beschriebenen Bedingungen ausgelöst werden kann.
Stand 12. Oktober 2026 haben GitLab und die erwähnten Sicherheitsberichte keine aktiven Ausnutzungen der Schwachstelle in realen Angriffen bestätigt. Kein öffentlich validierter CVE-2026-97229 PoC wurde in den zum Zeitpunkt des Schreibens überprüften Primärquellen dokumentiert.
Für die Erkennung von CVE-2026-97229 sollten Verteidiger die selbstverwaltete GitLab-Infrastruktur auf verdächtige CI/CD-Konfigurationsaktivitäten, ungewöhnliche reguläre Ausdrücke, unerwartetes GitLab-Service-Verhalten und abnormale Prozesse überwachen, die von serverseitigen GitLab-Komponenten ausgehen.
Da die erfolgreiche Ausnutzung die Ausführung von beliebigem Code ermöglicht, könnte sich das Verhalten nach der Ausnutzung abhängig von den Zielen eines Angreifers erheblich unterscheiden. Die Überwachung sollte sich daher über spezifische Muster von Anfragen zu Schwachstellen hinaus erstrecken, um auch Prozesse, ausgehende Netzwerkaktivitäten, Anmeldezugriffe, Persistenzmechanismen und unerwartete Änderungen an Repositories oder CI/CD-Konfiguration zu überwachen.
Minderung von CVE-2026-97229
GitLab empfiehlt nachdrücklich, dass Administratoren von selbstverwalteten CE- und EE-Bereitstellungen sofort auf eine der korrigierten Versionen umsteigen:
- 19.4.2 oder später
- 19.3.4 oder später
- 19.2.8 oder später
GitLab.com wurde bereits auf eine gepatchte Version aktualisiert, und Kunden von GitLab Dedicated müssen keine Maßnahmen ergreifen. Das CERT-EU empfiehlt ebenfalls, Upgrades für selbstverwaltete Instanzen zu priorisieren, insbesondere solche, die direkt vom Internet aus zugänglich sind.
Organisationen sollten zunächst selbstverwaltete GitLab-Installationen inventarisieren und deren genaue Versionen bestimmen. Internetzugängliche Instanzen und Server, die mit sensibler Entwicklungs-, Bereitstellungs-, Cloud- oder Produktionsinfrastruktur integriert sind, sollten die höchste Priorität bei der Behebung erhalten.
Administratoren sollten auch kürzliche CI/CD-Konfigurationsänderungen auf unerwartete oder ungeklärte reguläre Ausdrucksmuster überprüfen. Verdächtige Konfigurationsänderungen sollten mit Authentifizierungsaktivitäten, Änderungen im Git-Repository, Servertelemetrie und Prozessausführungsereignissen korreliert werden.
Um Ausnutzungsversuche von CVE-2026-97229 zu erkennen, sollten Sicherheitsteams nach ungewöhnlichen Aktivitäten suchen, die mit der Verarbeitung von CI/CD-Konfigurationen in GitLab verbunden sind, gefolgt von anomaler serverseitiger Prozessausführung, unerwarteter Shell-Aktivität, ausgehenden Verbindungen oder Änderungen an sensiblen Repositories und Pipeline-Ressourcen.
Da GitLab keine spezifischen Angriffs-IOCs für CVE-2026-97229 offengelegt hat, sollten Verteidiger sich auf Verhaltensüberwachung verlassen, anstatt auf statische Hashes, IP-Adressen oder Domänen zu warten. Organisationen, die Hinweise auf eine mögliche Ausnutzung entdecken, sollten den GitLab-Server als potenziell kompromittiert betrachten und den Zugriff auf CI/CD-Geheimnisse, Repository-Zugangsdaten, Runner, Bereitstellungstokens und verbundene Infrastruktur untersuchen.
Anmeldedaten und Geheimnisse, die von einer möglicherweise kompromittierten Instanz aus zugänglich sind, sollten nach der Eindämmung gedreht werden. Sicherheitsteams sollten auch die Repository-Historie und Pipeline-Konfigurationen auf unbefugte Änderungen überprüfen, die eine Persistenz der Software-Lieferkette herstellen könnten, selbst nachdem der zugrunde liegende Server gepatcht wurde.
Die AI-Native Detection Intelligence Platform von SOC Prime kann Sicherheitsteams dabei unterstützen, aufkommende Bedrohungsintelligenz zu operationalisieren und die Erkennungslogik an ihre SIEM-, EDR- und andere Sicherheitsumgebungen anzupassen, um schnellere Untersuchungen verdächtiger Verhaltensweisen im Zusammenhang mit kritischen Schwachstellen zu unterstützen.
FAQ
Was ist CVE-2026-97229 und wie funktioniert es?
CVE-2026-97229 ist eine kritische Integer-Überlauf-Schwachstelle im CI/CD-Reguläre-Ausdruck-Compiler von GitLab. Unzureichende Validierung speziell gestalteter regulärer Ausdrücke kann unter bestimmten Bedingungen einem nicht authentifizierten Remote-Angreifer ermöglichen, beliebigen Code auf einem betroffenen GitLab-Server auszuführen. Die Schwachstelle hat einen CVSS-Wert von 10,0.
Wann wurde CVE-2026-97229 erstmals entdeckt?
GitLab hat den Sicherheitsforscher joaxcar anerkannt, der die Schwachstelle über das HackerOne-Bug-Bounty-Programm gemeldet hat. Das Unternehmen hat das genaue anfängliche Entdeckungs- oder Meldedatum nicht angegeben. Die Schwachstelle wurde am 12. Oktober 2026 zusammen mit den GitLab-Versionen 19.4.2, 19.3.4 und 19.2.8 öffentlich bekannt gegeben.
Welche Auswirkungen hat CVE-2026-97229 auf Systeme?
Eine erfolgreiche Ausnutzung kann nicht authentifizierten Angreifern die Ausführung von beliebigem Code auf dem GitLab-Server ermöglichen. Abhängig von der Umgebung könnte dies Quellcode, CI/CD-Geheimnisse, Anmeldedaten, Repositories, Bereitstellungsinfrastruktur und andere über die kompromittierte Instanz zugängliche Ressourcen offenlegen.
Kann CVE-2026-97229 im Jahr 2026 immer noch Auswirkungen auf mich haben?
Ja. Selbstverwaltete Installationen von GitLab CE und EE, die anfällige Versionen ausführen, bleiben bis zu einem Upgrade exponiert. GitLab 19.2-Versionen vor 19.2.8, 19.3-Versionen vor 19.3.4 und 19.4-Versionen vor 19.4.2 sind betroffen. GitLab.com wurde bereits gepatcht, und Kunden von GitLab Dedicated müssen keine zusätzlichen Schritte unternehmen.
Wie kann ich mich vor CVE-2026-97229 schützen?
Führen Sie sofort ein Upgrade selbstverwalteter GitLab-Installationen auf Version 19.2.8, 19.3.4, 19.4.2 oder eine spätere sichere Version durch. Priorisieren Sie internetzugängliche Instanzen, untersuchen Sie verdächtige CI/CD-Konfigurationsänderungen und abnormale serverseitige Prozesse und drehen Sie sensible Anmeldedaten, wenn ein Kompromiss vermutet wird. Administratoren sollten auch die Sicherheitsveröffentlichungen von GitLab auf aktualisierte Details zu CVE-2026-97229 überwachen.
