Meldung · Self-Hosting
GitLab schließt kritische GraphQL-Lücke in selbst betriebenen Instanzen
Ein Fehler in der GraphQL-Verarbeitung erlaubte es unter bestimmten Bedingungen, ohne Anmeldung öffentliche Projekte zu verändern oder zu löschen; Betreiber eigener Instanzen müssen aktualisieren.
Was passiert ist
GitLab hat am 17. August 2026 einen als kritisch eingestuften Patch-Release für die Community und die Enterprise Edition veröffentlicht. Die Versionen 19.2.4, 19.1.6, 19.0.8 und 18.11.11 beheben unter anderem CVE-2026-19478 (CVSS 3.1: 9,4). Laut GitLab konnte ein nicht angemeldeter Angreifer über eine GraphQL-Direktive – GraphQL ist die Abfrageschnittstelle von GitLab – unter bestimmten Bedingungen öffentliche Projekte und Nutzerdaten aus der Ferne verändern oder löschen.
Zusätzlich wurde CVE-2026-19650 (CVSS 7,1) behoben: Durch fehlende Prüfung im sogenannten Multiplex-Query-Handler ließen sich Änderungsoperationen per GET-Anfrage auslösen (Cross-Site Request Forgery). Betroffen sind alle Versionen ab 18.2 bis vor den genannten Fix-Versionen.
Einordnung
GitLab.com und GitLab Dedicated waren laut Hersteller bereits gepatcht – Handlungsbedarf besteht also vor allem bei selbst betriebenen Installationen, wie sie im Mittelstand verbreitet sind. GitLab empfiehlt das Update „so bald wie möglich“. Die Releases enthalten keine Datenbankmigrationen; Mehrknoten-Installationen sollen ohne Ausfallzeit aktualisierbar sein. Wer eine eigene Instanz betreibt, sollte zudem prüfen, ob sie überhaupt aus dem Internet erreichbar sein muss. Die Detailberichte zu den Sicherheitslücken macht GitLab üblicherweise 90 Tage nach dem Release öffentlich.