GitLab erklärte bei der Veröffentlichung der Sicherheitsupdates am 12. Oktober, man habe ein Problem behoben, das es unter bestimmten Bedingungen einem nicht authentifizierten Nutzer erlaubt hätte, über einen speziell präparierten regulären Ausdruck in einer CI/CD-Konfiguration beliebigen Code auf dem GitLab-Server auszuführen — Ursache sei eine unzureichende Validierung regulärer Ausdrücke. Korrigiert ist der Fehler in Community Edition (CE) und Enterprise Edition (EE) in den Versionen 19.4.2, 19.3.5 und 19.2.8.

„Diese Versionen enthalten wichtige Fehler- und Sicherheitskorrekturen, und wir empfehlen dringend, alle selbstverwalteten GitLab-Installationen umgehend auf eine dieser Versionen zu aktualisieren“, so das Unternehmen. GitLab.com laufe bereits mit der gepatchten Version, Kunden von GitLab Dedicated müssten nichts unternehmen.

Die US-Cybersicherheitsbehörde CISA bestätigte am Freitag, dass Angreifer die Schwachstelle in freier Wildbahn ausnutzen, nahm CVE-2026-97229 in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) auf und verpflichtete die US-Bundesbehörden, ihre Server bis Sonntag abzusichern. Obwohl die Patches vor drei Wochen erschienen, meldete der Bedrohungsbeobachter Shadowserver am Wochenende, mehr als 1.000 ungepatchte GitLab-Server seien den laufenden Angriffen ausgesetzt.

„Wir verfolgen derzeit über 1000 GitLab-Instanzen, die für CVE-2026-97229 (im KEV-Katalog von CISA) anfällig sind, und über 11300 Instanzen, die für CVE-2026-110264 anfällig sind (von rund 39.000 GitLab-Instanzen, die wir täglich sehen)“, teilte Shadowserver am Sonntag mit.

CVE-2026-97229 reiht sich in eine Serie von GitLab-Sicherheitsproblemen seit Jahresbeginn ein:

  • Im Januar schloss GitLab eine als hoch eingestufte Lücke (CVE-2026-0723), mit der sich die Zwei-Faktor-Authentifizierung umgehen ließ.
  • Im September folgte eine Schwachstelle mit Höchstbewertung (CVE-2026-85706) in der API für Repository-Commits, über die sich Zugangsdaten und andere Geheimnisse stehlen lassen. CISA stufte auch diese als aktiv ausgenutzt ein, nachdem das Sicherheitsunternehmen watchTowr gemeldet hatte, dass Angreifer bereits nach verwundbaren GitLab-Servern scannten.
  • Im vergangenen Monat wurde ein weiterer Fehler mit Höchstbewertung im Regular-Expression-Compiler (CVE-2026-110264) behoben, der ebenfalls die Ausführung beliebigen Codes auf angegriffenen Instanzen erlaubt.

Seit November 2021 hat CISA sechs GitLab-Schwachstellen in ihren Katalog aktiv ausgenutzter Lücken aufgenommen; eine davon wurde auch bei Ransomware-Angriffen eingesetzt. Nach Angaben von GitLab hat die DevSecOps-Plattform über 70 Millionen registrierte Nutzer und wird von mehr als 50 Prozent der Fortune-100-Unternehmen eingesetzt.