Im Mittelpunkt des Updates steht CVE-2026-19478. GitLab zufolge kann die Schwachstelle unter bestimmten Bedingungen ausgenutzt werden, um über eine GraphQL-Direktive öffentliche Projekte und Nutzerdaten aus der Ferne zu verändern oder zu löschen, ohne dass sich der Angreifer anmelden muss. Der von GitLab veröffentlichte CVSS-Vektor zeigt zudem, dass die Ausnutzung über das Netzwerk möglich ist, ohne Zugangsdaten und ohne Mitwirkung eines Opfers.
Welche GraphQL-Direktive betroffen ist und welche Voraussetzungen für eine erfolgreiche Ausnutzung genau vorliegen müssen, hat GitLab nicht offengelegt. Nach Angaben des Unternehmens betrifft das Problem Community Edition und Enterprise Edition in selbstverwalteten Umgebungen. GitLab.com und GitLab Dedicated laufen laut Hersteller bereits mit der gepatchten Version.
Verfügbar sind die Fehlerkorrekturen in den Versionen 19.2.4, 19.1.6, 19.0.8 und 18.11.11. GitLab weist zugleich darauf hin, dass sich die Korrekturen nicht auf die Branches 18.2 bis 18.10 erstrecken, obwohl diese innerhalb des betroffenen Bereichs liegen.
Neben der kritischen Lücke behebt das Update noch ein zweites Problem: CVE-2026-19650. Diese Schwachstelle bewertet GitLab als hoch und vergibt einen CVSS-Wert von 7,1. Es handelt sich um eine Cross-Site-Request-Forgery-Schwäche im GraphQL-Multiplex-Query-Handler. Laut GitLab konnte dadurch unter bestimmten Bedingungen ein nicht authentifizierter Nutzer wegen unzureichender Anfragevalidierung Mutationen über GET-Anfragen ausführen. Anders als bei CVE-2026-19478 ist hier jedoch eine Benutzerinteraktion erforderlich.
Nach Angaben von GitLab führt das Update keine neuen Migrationen ein. In Multi-Node-Umgebungen werde zudem keine Ausfallzeit erwartet. Hinweise auf eine aktive Ausnutzung nennt die Sicherheitsmitteilung für keine der beiden Schwachstellen. Auch öffentlich verfügbärer Exploit-Code für diese beiden Fehler war GitHub zufolge bis zum 18. August 2026 nicht aufgetaucht.
Die Veröffentlichung folgt auf einen Bericht aus dem Juli 2026, in dem Forscher funktionsfähigen Exploit-Code für eine andere GitLab-Schwachstelle in selbstverwalteten Servern veröffentlicht hatten. GitLab reagierte nicht sofort auf eine Bitte um Stellungnahme.
Details zu den einzelnen Schwachstellen macht das Unternehmen nach eigenen Angaben erst 90 Tage nach dem Release öffentlich, das die Fehler behebt. Bei der Patch-Veröffentlichung vom 10. Juni 2026 hatte dieses Zeitfenster noch 30 Tage betragen. Für die nun geschlossenen Lücken würden technische Einzelheiten damit ungefähr Mitte November 2026 öffentlich werden.