Ursache ist nach Angaben des Unternehmens ein Integer-Überlauf in jener Komponente, die reguläre Ausdrücke in den Pipeline-Konfigurationsdateien von Projekten einliest, kompiliert und auswertet. „GitLab hat ein Problem behoben, das es unter bestimmten Bedingungen einem nicht authentifizierten Nutzer erlaubt haben könnte, über einen speziell präparierten regulären Ausdruck in einer CI/CD-Konfiguration beliebigen Code auf dem GitLab-Server auszuführen, weil reguläre Ausdrücke unzureichend validiert wurden", heißt es in einem Sicherheitshinweis vom Montag.

Entdeckt wurde der Fehler von einem Sicherheitsforscher, der unter dem Namen „joaxcar" auftritt; gemeldet wurde er über das HackerOne-Bug-Bounty-Programm von GitLab.

Korrigiert ist die Schwachstelle in Community Edition (CE) und Enterprise Edition (EE) in folgenden Versionen:

  • 19.2.8 (für den Zweig 19.2)
  • 19.3.4 (für den Zweig 19.3)
  • 19.4.2 (für den Zweig 19.4)

„Diese Versionen enthalten wichtige Fehler- und Sicherheitskorrekturen, und wir empfehlen dringend, alle selbstverwalteten GitLab-Installationen umgehend auf eine dieser Versionen zu aktualisieren", so das Unternehmen. GitLab.com laufe bereits mit der gepatchten Version, Kunden von GitLab Dedicated müssten nicht tätig werden.

Die Lücke reiht sich in eine Serie von Schwachstellen ein, die GitLab in den vergangenen Monaten behoben hat. Im Januar schloss das Unternehmen eine als hoch eingestufte Umgehung der Zwei-Faktor-Authentifizierung (CVE-2026-0723): Angreifer, die die Konto-ID eines Ziels kennen, konnten den zweiten Faktor auf CE- und EE-Servern aushebeln. Im vergangenen Monat folgte eine weitere Schwachstelle mit Höchstschweregrad in GitLab CE/EE (CVE-2026-85706), über die nicht authentifizierte Angreifer sensible Daten wie Zugangsdaten und andere Geheimnisse von verwundbaren Servern auslesen konnten.

Einen Tag später nahm die US-Cybersicherheitsbehörde CISA CVE-2026-85706 in ihren Katalog aktiv ausgenutzter Schwachstellen auf und verpflichtete Bundesbehörden, ihre Systeme binnen drei Tagen abzusichern. Seit November 2021 hat CISA insgesamt fünf GitLab-Schwachstellen als in Angriffen missbraucht gekennzeichnet, darunter eine, die von Ransomware-Gruppen ausgenutzt wurde.

Nach eigenen Angaben hat GitLab mehr als 30 Millionen registrierte Nutzer; über die Hälfte der Fortune-100-Unternehmen setze die DevSecOps-Plattform ein, unter anderem Nvidia, T-Mobile, Lockheed Martin, Airbus und Goldman Sachs.