Sicherheitslücke · kritisch
GitLab: Mehrere Schwachstellen
Tier B · Diese Woche patchen – Ab in den Sprint
Wer betroffen ist: Betreiber selbst gehosteter GitLab-Instanzen mit betroffenen Versionen
Tier B, weil: Volle Übernahme ODER Geheimnisse offengelegt ODER Lieferkette
Reichweite
Angriff
Schaden
Fix
Kerninfrastruktur · Verbreitetes Werkzeug · Volle Übernahme
Was zu tun ist
- Installierte GitLab-Version prüfen und auf die aktuell gepatchte Version aktualisieren, wie in den BSI-Warnungen WID-SEC-2026-3556, WID-SEC-2026-3858 und WID-SEC-2026-4115 beschrieben
Kurz gesagt
- Das BSI hat drei Warnungen zu mehreren Schwachstellen in GitLab veröffentlicht und am 09.11.2026 aktualisiert.
- Ein Angreifer kann die Lücken ausnutzen, um beliebigen Programmcode auszuführen, Informationen offenzulegen, Daten zu manipulieren, Cross-Site-Scripting-Angriffe durchzuführen und Sicherheitsvorkehrungen zu umgehen.
- Eine der drei Warnungen stuft die Lage als kritisch ein, zwei als hoch.
Warum es wichtig ist
Wer GitLab selbst betreibt, sollte prüfen, ob die eigene Instanz betroffen ist, und zeitnah auf eine gepatchte Version aktualisieren, da Codeausführung und Umgehung von Sicherheitsvorkehrungen möglich sind.
Die Checkliste hinter dem Tier
Checkliste · 4 von 10 mit Ja
| Ja | Trifft Tech-Teams | GitLab ist eine Entwicklerplattform, die Entwickler und Ops-Teams selbst betreiben. |
| Ja | Kerninfrastruktur | GitLab zählt zur Software, die viele Teams betreiben; auf der Liste der Kerninfrastruktur. |
| Ja | Verbreitetes Werkzeug | GitLab ist ein weit verbreitetes Entwicklungswerkzeug, das viele Teams nutzen. |
| Nein | Wird ausgenutzt | WID-Warnungen nennen keine beobachteten Angriffe, KEV-Eintrag oder Kampagne. |
| Nein | Exploit öffentlich | WID-Warnungen erwähnen keinen veröffentlichten Exploit oder Proof of Concept. |
| Nein | Aus der Ferne, ohne Login | WID-Warnungen nennen keinen Zugriff ohne Anmeldung über das Netz. |
| Ja | Volle Übernahme | WID: Angreifer können beliebigen Programmcode ausführen und Berechtigungen erweitern. |
| Nein | Geheimnisse offengelegt | WID nennt nur allgemein Informationsoffenlegung, keine gestohlenen Zugangsdaten oder Quellcode. |
| Nein | Lieferkette | WID-Warnungen beschreiben Schwachstellen, keine kompromittierten Pakete oder Updates. |
| Nein | Noch kein Fix | WID-Warnungen nennen keinen fehlenden Fix; die Meldungen sind Updates mit Patch-Hinweisen. |
Zeitleiste
BSI aktualisiert die Warnungen zu mehreren GitLab-Schwachstellen
BSI Warn- und Informationsdienst (WID): Schwachstellen-Informationen (Security Advisories)
[UPDATE] [hoch] GitLab: Mehrere Schwachstellen · +1 Antwort
BSI Warn- und Informationsdienst (WID): Schwachstellen-Informationen (Security Advisories)
[UPDATE] [kritisch] GitLab: Mehrere Schwachstellen
Alle Berichte · 3 Quellen
- vor 1 Std. ↗
BSI Warn- und Informationsdienst (WID): Schwachstellen-Informationen (Security Advisories)
[UPDATE] [hoch] GitLab: Mehrere Schwachstellen - vor 1 Std. ↗
BSI Warn- und Informationsdienst (WID): Schwachstellen-Informationen (Security Advisories)
[UPDATE] [kritisch] GitLab: Mehrere Schwachstellen - vor 1 Std. ↗
BSI Warn- und Informationsdienst (WID): Schwachstellen-Informationen (Security Advisories)
[UPDATE] [hoch] GitLab: Mehrere Schwachstellen
Zuerst gesehen · 3 Quellen · Zur ganzen Meldung · Wie Tiers entschieden werden