GitLab 19.4.1 schließt zwei kritische RCE-Lücken mit CVSS 9,9

GitLab hat ein kritisches Sicherheitsupdate für selbstverwaltete Installationen veröffentlicht. Die Versionen 19.4.1, 19.3.3 und 19.2.7 schließen mehrere Schwachstellen – darunter zwei als kritisch eingestufte Fehler, über die ein authentifizierter Angreifer unter bestimmten Bedingungen beliebigen Code auf dem GitLab-Server ausführen könnte.

Zwei Schwachstellen erreichen CVSS 9,9

Die beiden kritischsten Lücken tragen die Kennungen CVE-2026-89078 und CVE-2026-93577. GitLab bewertet beide mit CVSS 9,9 von 10. Ursache sind Fehler im Parser beziehungsweise Compiler für reguläre Ausdrücke. Ein angemeldeter Nutzer könnte laut GitLab eine speziell präparierte Regular Expression in einer CI/CD-Konfiguration verwenden und dadurch Code auf dem Server ausführen.

Betroffen sind GitLab CE und EE ab Version 19.2 bis vor 19.2.7, Version 19.3 bis vor 19.3.3 sowie Version 19.4 bis vor 19.4.1.

Weitere Lücken betreffen XSS, Duo und MCP

Das Paket behebt zusätzlich eine hoch eingestufte Cross-Site-Scripting-Lücke im Merge-Request-Diff-Viewer sowie einen Autorisierungsfehler in der Duo-AI-Fehlerdiagnose. Auch die MCP-API ist betroffen: Eine mittlere Schwachstelle konnte dazu führen, dass ein authentifizierter Nutzer mit einem MCP-begrenzten Token Aktionen außerhalb des vorgesehenen Scopes ausführt. Eine weitere, niedrig bewertete Race Condition betraf den MCP-Suchkontext.

GitLab empfiehlt sofortiges Update

GitLab fordert Betreiber von Self-Managed-Instanzen ausdrücklich auf, möglichst schnell auf eine der korrigierten Versionen zu wechseln. GitLab.com läuft bereits mit dem Patch; Kunden von GitLab Dedicated müssen laut Hersteller nichts unternehmen.

Administratoren sollten den Upgrade-Pfad trotzdem planen: GitLab weist darauf hin, dass die Patch-Versionen Datenbankmigrationen enthalten. Bei Single-Node-Installationen kann deshalb während des Upgrades eine Ausfallzeit entstehen. Multi-Node-Umgebungen lassen sich mit dem dokumentierten Zero-Downtime-Verfahren aktualisieren.

Praktische Empfehlung

• Installierte GitLab-Version sofort prüfen.
• Vor dem Upgrade ein aktuelles, getestetes Backup sicherstellen.
• Auf 19.4.1, 19.3.3 oder 19.2.7 wechseln – passend zur verwendeten Release-Linie.
• Bei Single-Node-Systemen Wartungsfenster wegen möglicher Datenbankmigration einplanen.
• Nach dem Update CI/CD, Authentifizierung und Integrationen gezielt testen.

Quelle: GitLab – Critical Patch Release 19.4.1, 19.3.3, 19.2.7