GitLab-Lücke mit CVSS 10,0 ausgenutzt – CISA-Frist 14. September

Die US-Cybersicherheitsbehörde CISA hat CVE-2026-85706 am 11. September 2026 in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen – die öffentliche Feststellung der Behörde, dass eine Lücke höchster Schwere in GitLab in realen Angriffen eingesetzt wird. GitLabs eigener Patch-Hinweis beschreibt den Fehler als Path Traversal in der Repository-Commits-API: Wegen fehlerhafter Pfadbeschränkung und nicht erzwungener Authentifizierung konnte ein nicht authentifizierter Nutzer beliebige Dateien vom GitLab-Server lesen. GitLab bewertet die Lücke mit 10,0 von 10,0 auf der CVSS-Skala – dem höchstmöglichen Wert. CISA führt sie im Katalog als CWE-35.

Dringlich macht den Fall die Abfolge. GitLab veröffentlichte die Korrekturen am 10. September 2026 in den Versionen 19.1.8, 19.2.6 und 19.3.2 für Community Edition und Enterprise Edition. Einen Tag später listete CISA die Schwachstelle als aktiv ausgenutzt und setzte für die US-Bundeszivilbehörden den 14. September 2026 als Frist, gestützt auf die Binding Operational Directive 26-04. Der Katalogeintrag kennzeichnet die Lücke zudem als forensisch triagepflichtig nach eben dieser Direktive, die Behörden verpflichtet zu prüfen, ob Angreifer das System vor dem Einspielen des Patches kompromittiert haben.

Das Risiko tragen Organisationen, die GitLab auf eigener Infrastruktur betreiben. GitLab nennt als betroffene Builds 18.7 bis 19.1.7, 19.2.0 bis 19.2.5 sowie 19.3.0 bis 19.3.1 und teilt mit, dass GitLab.com bereits den gepatchten Code ausführt und Kunden von GitLab Dedicated nichts unternehmen müssen. Ein selbst verwalteter Server ist ein dichtes Ziel: Dort liegen typischerweise Quellcode, CI/CD-Variablen, Deployment-Schlüssel und Integrationstoken – genau das Material, das ein Dateizugriff ohne Authentifizierung erreichen kann. Dasselbe Release schloss eine zweite kritische Lücke, CVE-2026-87719 mit der Bewertung 9,9: Laut GitLab konnte ein authentifizierter Nutzer mit Duo-Chat-Zugang über ein präpariertes GraphQL-Subscription-Argument Konfigurationen und Zugangsdaten der Advanced-Search-Instanz auslesen.

Offen bleibt, wer die Lücke ausnutzt, in welchem Umfang und gegen welche Organisationen. Keine offizielle Stellungnahme nennt Angreifer oder Opfer, und CISA führt im Eintrag die Nutzung in bekannten Ransomware-Kampagnen als "Unbekannt". GitLab schreibt die Meldung dem Forscher s3ntago über das eigene HackerOne-Bug-Bounty-Programm zu. Nach der Unternehmenspolitik werden die zugrunde liegenden Issue-Einträge erst 90 Tage nach dem patchenden Release öffentlich; technische Details zu CVE-2026-85706 wären damit etwa im Dezember 2026 zu erwarten. Bis dahin bleibt das Upgrade die einzige veröffentlichte Abhilfe. Die Frist zum 14. September bindet allein US-Bundeszivilbehörden – für alle anderen ist der KEV-Eintrag das Signal der CISA, dass die Ausnutzung bereits läuft und nicht bloß theoretisch ist.