GitLab hat am Mittwoch Sicherheitsupdates für die Versionen 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 und 18.11.13 der GitLab Community Edition (CE) und Enterprise Edition (EE) veröffentlicht. Sie schließen insgesamt zwölf Sicherheitslücken, davon eine als kritisch eingestufte. In den Updates für die älteren Versionszweige (19.2.9, 19.1.9, 19.0.10 und 18.11.13) steckt allerdings nur der Fix für die kritische Lücke.

Alle Releases enthalten neben Bugfixes eine Fehlerbehebung für die mit einem CVSS-Score von 10.0 als „critical“ eingestufte Sicherheitslücke CVE-2026-110264. Über sie können nicht angemeldete Angreifer unter bestimmten Bedingungen beliebigen Code auf dem Server ausführen. Auslöser ist ein Integer Overflow beim Kompilieren präparierter regulärer Ausdrücke. Betroffen sind alle Versionen ab 7.0. Angriffe auf die Lücke sind bislang nicht bekannt.

Die übrigen elf Sicherheitslücken sind nur in den Versionen 19.3.6, 19.4.3 und 19.5.1 behoben. Zwei davon haben das Bedrohungspotenzial „high“: Mit CVE-2026-15723 (CVSS-Score 8.2) können angemeldete Nutzer fremde LDAP-Konten übernehmen, ohne dass die Betroffenen etwas tun müssen, sofern OmniAuth-SAML und LDAP-Auto-Linking gleichzeitig aktiviert sind. CVE-2026-112212 (CVSS-Score 7.5) erlaubt es nicht angemeldeten Angreifern, das OAuth/OIDC-Discovery-Dokument in einem gemeinsam genutzten Cache zu manipulieren und so bestimmte OAuth-Abläufe auf einen eigenen Server umzuleiten.

Fünf weitere Fixes betreffen Sicherheitslücken mit einem Bedrohungspotenzial von „medium“: CVE-2026-12664 (CVSS-Score 6.8), CVE-2026-16255 (5.9), CVE-2026-105777 (4.3), CVE-2026-13319 (4.3) und CVE-2026-112378 (4.3). Als „low“ sind diese vier Sicherheitslücken eingeordnet: CVE-2026-105711, CVE-2026-14288, CVE-2026-112326 und CVE-2026-103515.

GitLab empfiehlt, alle selbstverwalteten Installationen umgehend zu aktualisieren. Wer alle zwölf Lücken schließen will, muss auf 19.3.6, 19.4.3 oder 19.5.1 aktualisieren. GitLab.com läuft bereits mit der gepatchten Version, ebenso GitLab-Dedicated-Instanzen ab 19.3.5-internal0 beziehungsweise 19.4.2-internal0. Für selbstverwaltete Instanzen hat GitLab zudem zwei Erkennungsregeln veröffentlicht, mit denen sich Ausnutzungsversuche der kritischen Lücke aufspüren lassen.

(mro)