Im Zentrum der Warnung steht CVE-2026-19478, eine Code-Injection-Schwachstelle in GitLab CE/EE. Laut GitLab kann sie von außen ohne Anmeldung und ohne Mitwirkung eines Nutzers ausgenutzt werden. Ein Angreifer könnte dadurch öffentlich zugängliche Projekte und Nutzerdaten verändern oder löschen, indem er die GraphQL-Schnittstelle der Plattform missbraucht.
Daneben hat GitLab in dieser Woche noch eine zweite, weniger schwerwiegende Lücke offengelegt: CVE-2026-19650. Dabei handelt es sich um ein Cross-Site-Request-Forgery-Problem im GraphQL-Multiplex-Query-Handler von GitLab. Laut Hersteller könnte ein nicht authentifizierter Angreifer damit über speziell präparierte GET-Anfragen unautorisierte Änderungen auslösen. Die Schwachstelle betrifft dieselben GitLab-CE/EE-Versionen wie CVE-2026-19478 und hat einen CVSS-Wert von 7,1.
Selbstverwaltete Installationen sollen umgehend auf die neu veröffentlichten Versionen 19.2.4, 19.1.6, 19.0.8 und 18.11.11 für GitLab CE und EE aktualisiert werden. Für GitLab.com und GitLab Dedicated sind laut GitLab keine Maßnahmen erforderlich, da diese Umgebungen bereits abgesichert wurden. Problematisch ist laut Jacob Krell, Senior Director AI Solutions and Cybersecurity bei Suzu Labs, dass das außerplanmäßige Sicherheitsupdate keine technischen Details enthält. GitLab hält solche Informationen nach eigener Richtlinie 90 Tage nach Veröffentlichung eines Patches zurück.
Krell weist darauf hin, dass sich ohne offengelegte Angriffsdetails keine verlässlichen, spezifischen Erkennungsmuster schreiben lassen. Sicherheitsteams sollten deshalb GitLab-GraphQL-, API-, Reverse-Proxy- und Audit-Protokolle sichern und nach ungewöhnlichen Anfragen an /api/graphql suchen, insbesondere wenn sie mit unerklärlichen Projektlöschungen, Konfigurationsänderungen oder Modifikationen an Nutzerdaten zusammenfallen. Da GitLabs GraphQL-Protokoll Abfragezeichenfolgen und Variablen erfasse, solle dort gezielt nach ungewöhnlichen Direktiven oder Mutationsaktivitäten gesucht werden. Bis mehr technische Einzelheiten vorliegen, sei Eindämmung wichtiger als forensische Detailanalyse.
Krell empfiehlt, betroffene und aus dem Internet erreichbare GitLab-Instanzen sowie extern zugängliche GraphQL-Endpunkte vorrangig zu aktualisieren. Dass GitLab nur wenige Tage nach dem regulären Patch-Zyklus ein außerplanmäßiges Update veröffentlicht habe, wertet er als zusätzliches Schweregrad-Signal über den CVSS-Wert hinaus. Für Organisationen, die noch auf Versionen 18.2 bis 18.10 arbeiten, kann der Update-Pfad schwieriger sein: Diese Entwicklungszweige haben keine Korrekturen erhalten und müssen laut Krell auf einen unterstützten, korrigierten Zweig wechseln und dabei GitLabs vorgegebene Aktualisierungsschritte beachten.
Noelle Murata, COO von XCape, bezeichnet den Notfall-Patch kurz nach einem regulären Update ebenfalls als Warnsignal. Besonders dringlich sei die Lage, weil CVE-2026-19478 offenbar trivial ohne Zugangsdaten und ohne Nutzerinteraktion ausnutzbar sei. Wer nicht sofort patchen könne, solle die Instanz aus dem öffentlichen Internet nehmen oder hinter ein VPN stellen, nicht authentifizierten externen Verkehr auf /api/graphql über eine Web Application Firewall oder einen Reverse Proxy einschränken und alle öffentlichen Repositorien prüfen. Personen mit administrativem Zugriff sollten zudem vorsichtig sein, wenn sie bei offenen GitLab-Sitzungen auf Links aus nicht vertrauenswürdigen Quellen klicken.
Auch Seemant Sehgal, CEO und Mitgründer von BreachLock, betont, dass Verteidiger ohne vollständige technische Angaben nur mit Teilinformationen arbeiten. Organisationen sollten deshalb nach Anomalien in GraphQL-API-Protokollen suchen, insbesondere nach nicht authentifizierten Anfragen an Endpunkte für Projekt- oder Nutzerdaten, die nicht zu normalen Verkehrsmustern passen. Unerwartete Änderungen an Projekteinstellungen, Löschungen oder Anpassungen an Nutzerdatensätzen ohne dazugehörige authentifizierte Sitzung seien prüfenswert. Zudem empfiehlt er, jetzt eine Grundlage für normales Verhalten zu schaffen, damit sich Abweichungen überhaupt sichtbar machen lassen.