Die Schwachstelle mit der Kennung CVE-2026-85706 liegt in der Commits-API für Repositories. Zwei Fehler wirken dort zusammen: Die Authentifizierung wird nicht durchgesetzt, und die Beschränkung auf zulässige Pfade greift nicht korrekt. Angreifer ohne gültige Anmeldedaten können dadurch Zugangsdaten, Geheimnisse und weitere sensible Inhalte von betroffenen Servern abgreifen.
GitLab stellte die korrigierten Fassungen für Community Edition und Enterprise Edition in den Versionen 19.3.2, 19.2.6 und 19.1 bereit und riet zum sofortigen Einspielen. Die Tragweite ergibt sich aus der Verbreitung der Plattform: Mehr als 50 Prozent der Fortune-100-Unternehmen nutzen sie, weltweit sind über 30 Millionen Nutzer registriert.
Einen Tag nach Veröffentlichung der Patches meldete das Sicherheitsunternehmen watchTowr erste Scans. “watchTowr Intel beobachtet bereits Sondierungen in freier Wildbahn für die jüngste kritische GitLab-Schwachstelle zur Pfadmanipulation, CVE-2026-85706, die es Angreifern erlaubt, mit einer einzigen HTTP-Anfrage beliebige Dateien auszulesen”, so das Unternehmen.
watchTowr rechnet mit einer raschen Eskalation: “Auf Basis der jüngsten GitLab-Schwachstellen wissen wir, dass die Zeit bis zur wahllosen Ausnutzung wahrscheinlich nicht mehr fern ist.” Verteidigern empfiehlt die Firma, Protokolldateien gezielt nach HTTP-POST-Anfragen an URIs der Form ‘/api/v4/projects/{id}/repository/commits/’ zu durchsuchen, die den Parameter ‘file.path’ enthalten — sie können auf Ausnutzungsversuche hindeuten.
Am selben Tag nahm CISA die Lücke in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) auf. Unter der Binding Operational Directive (BOD) 26-04 müssen US-Bundesbehörden ihre Systeme binnen drei Tagen absichern. Die Behörde weitete ihre Empfehlung ausdrücklich aus: “Diese Art von Schwachstellen ist ein häufiger Angriffsweg für böswillige Cyberakteure und stellt ein erhebliches Risiko für die Bundesverwaltung dar”, heißt es in der Mitteilung. “Auch wenn BOD 26-04 nur für FCEB-Behörden gilt, ermutigt CISA alle Organisationen, ein risikobasiertes Schwachstellenmanagement einzuführen und die Behebung von Schwachstellen aus dem KEV-Katalog zu priorisieren.”
GitLab war bereits zuvor Ziel von Sicherheitsmeldungen: Im Januar schloss der Anbieter eine als hoch eingestufte Lücke, mit der sich die Zwei-Faktor-Authentifizierung umgehen ließ, sofern Angreifer die Konto-ID des Ziels kannten. Seit November 2021 hat CISA insgesamt vier GitLab-Schwachstellen als aktiv ausgenutzt eingestuft, darunter CVE-2021-22175 und CVE-2021-39935 im Februar dieses Jahres.