Kritische GitLab-GraphQL-Lücke wird bereits angegriffen

GitLab hat am Montag ungeplante Sicherheitsupdates für seine Codehosting-Software veröffentlicht, die teils kritische Schwachstellen schließen. Die IT-Sicherheitsfirma watchTowr hat nun erste Angriffsversuche auf die schwerwiegendste Lücke bestätigt.

Die Schwachstelle CVE-2026-19478 ist mit einem CVSS-Wert von 9,4 als kritisch eingestuft. Laut Jake Knott, leitendem Sicherheitsforscher bei watchTowr, können Angreifer ohne vorherige Authentifizierung öffentlich zugreifbare GitLab-Projekte löschen, ihren Status ändern, ganze Repositories entfernen, Merge-Einträge fälschen oder Maintainer aussperren. Eine einzelne HTTP-Anfrage genügt. Weder Zugangsdaten noch Nutzerinteraktion noch eine ungewöhnliche Konfiguration sind nötig.

Knott erklärte am Mittwoch, dass watchTowr über sein globales Honeypot-Netzwerk bereits Angriffsversuche in freier Wildbahn entdeckt hat. Organisationen mit ungepatchten Installationen sollten ihre Weblogs nach der Zeichenkette "@gl_introduced" durchsuchen und nach Anzeichen für Erkundungs- oder Angriffsversuche Ausschau halten.

Auf LinkedIn gab watchTowr an, dass das hauseigene KI-Tool die Schwachstelle allein anhand der Fehlerbeschreibung und der Code-Änderungen nachvollzogen hat. Zum Veröffentlichungszeitpunkt existierte noch kein öffentlicher Proof-of-Concept-Exploit. Auf X empfahl das Unternehmen, selbstverwaltete Installationen umgehend zu aktualisieren oder zumindest den Zugriff auf "/api/graphql" zu beschränken.

Die Updates schlossen außerdem eine zweite Schwachstelle in der GraphQL-API, CVE-2026-19650, mit CVSS 7,1 und Risiko "hoch". Für deren Ausnutzung müssen Opfer jedoch mitwirken, etwa durch Klicken auf einen manipulierten Link.