Angriffsversuche auf GitLab-Lücke beobachtet

Am Montag hat GitLab ungeplante Aktualisierungen der Codehosting-Software veröffentlicht. Sie schließen teils kritische Sicherheitslücken. IT-Forscher haben jetzt erste Angriffsversuche auf die schwerwiegendere Schwachstelle beobachtet. Weiterlesen nach der Anzeige Übereinstimmenden Medienberichten zufolge hat die renommierte IT-Sicherheitsfirma watchTowr die Angriffsversuche bestätigt. Der leitende IT-Sicherheitsforscher des Unternehmens, Jake Knott, sagte demnach, dass die neu veröffentlichte Sicherheitslücke (CVE-2026-19478, CVSS 9.4, Risiko „kritisch“) Angreifern ohne vorherige Authentifizierung ermöglicht, öffentlich zugreifbare GitLab-Projekte zu löschen, ihren Status zu ändern, ganze Repositories zu löschen, Merge-Einträge zu fälschen oder sogar Maintainer auszusperren. Das gelinge mit einer einzelnen HTTP-Anfrage ohne Zugangsdaten oder Nutzerinteraktion, es sei auch keine ungewöhnliche Konfiguration dafür erforderlich. Knott erklärte am Mittwoch dieser Woche demnach weiter, dass watchTowr bereits Angriffsversuche in freier Wildbahn mit seinem globalen Honeypot-Netzwerk entdeckt hat. Organisationen, die die GitLab-Software noch nicht gepatcht haben, sollten die Weblogs nach Einträgen mit der Zeichenkette „@gl_introduced“ durchwühlen und nach Anzeichen für Erkundungs- oder Angriffsversuche Ausschau halten. Schwachstelle in Minuten nachvollzogen Auf LinkedIn gibt watchTowr an, dass das KI-Tool des Unternehmens die Schwachstelle allein anhand der Fehlerbeschreibung und der Code-Änderungen nachvollzogen hat. Zum Veröffentlichungszeitpunkt gab es demnach noch keinen öffentlich verfügbaren Proof-of-Concept-Exploitcode. Auf X gibt das Unternehmen noch den Tipp, entweder umgehend selbstverwaltete Installationen zu aktualisieren oder zumindest nach Möglichkeit den Zugriff auf „/api/graphql“ zu beschränken. Neben der kritischen Sicherheitslücke in der GraphQL-API hat GitLab mit den Updates vom Anfang der Woche auch eine hochriskante Schwachstelle ausgebessert. Sie betrifft ebenfalls die GraphQL-API, hier müssen jedoch Opfer mitspielen und etwa auf manipulierte Links klicken (CVE-2026-19650, CVSS 7.1, Risiko „hoch“).