GitLab hat am Mittwoch Sicherheitsupdates für die Community Edition (CE) und Enterprise Edition (EE) veröffentlicht. Die neuen Versionen sind 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 und 18.11.13. Neben Fehlerbehebungen schließen sie zwölf Sicherheitslücken. Die älteren Zweige 19.2.9, 19.1.9, 19.0.10 und 18.11.13 enthalten allerdings nur den Fix für die kritische Lücke.

CVE-2026-110264 ist mit CVSS 10,0 bewertet. Unter bestimmten Bedingungen können nicht angemeldete Angreifer einen Integer Overflow beim Kompilieren speziell präparierter regulärer Ausdrücke auslösen und beliebigen Code auf dem Server ausführen. Betroffen sind alle GitLab-Versionen ab 7.0. Angriffe auf die Lücke sind bislang nicht bekannt.

Die übrigen elf Schwachstellen wurden nur in 19.3.6, 19.4.3 und 19.5.1 behoben. CVE-2026-15723 erreicht einen CVSS-Wert von 8,2. Damit können angemeldete Nutzer fremde LDAP-Konten übernehmen, ohne dass deren Besitzer etwas tun müssen, wenn OmniAuth-SAML und LDAP-Auto-Linking gleichzeitig aktiviert sind. CVE-2026-112212 hat einen CVSS-Wert von 7,5. Nicht angemeldete Angreifer können damit ein OAuth/OIDC-Discovery-Dokument in einem gemeinsam genutzten Cache verändern und bestimmte OAuth-Abläufe auf einen eigenen Server umleiten.

Fünf weitere Lücken gelten als mittelschwer: CVE-2026-12664 mit CVSS 6,8, CVE-2026-16255 mit 5,9, CVE-2026-105777 mit 4,3, CVE-2026-13319 mit 4,3 und CVE-2026-112378 mit 4,3. Als niedrig eingestuft sind CVE-2026-105711, CVE-2026-14288, CVE-2026-112326 und CVE-2026-103515.

GitLab empfiehlt, alle selbstverwalteten Installationen umgehend zu aktualisieren. Für die Behebung aller zwölf Lücken ist ein Upgrade auf 19.3.6, 19.4.3 oder 19.5.1 erforderlich. GitLab.com läuft bereits mit einer gepatchten Version. GitLab-Dedicated-Instanzen sind ab 19.3.5-internal0 beziehungsweise 19.4.2-internal0 abgesichert. Für selbstverwaltete Installationen hat GitLab außerdem zwei Erkennungsregeln zur Suche nach Ausnutzungsversuchen der kritischen Lücke veröffentlicht.