// HEISE ONLINE — CYBERSECURITY

Kritische Sicherheitslücke in GitLab: Angreifer können Projekte löschen

Published: 08/18/2026, 08:29 AM

GitLab-Umgebungen sind über zwei nun geschlossene Schwachstellen attackierbar. This article is also available in English. It was translated with technical assistance and editorially reviewed before publication. Die Code-Hosting-Plattform GitLab ist verwundbar. Angreifer können an zwei Sicherheitslücken ansetzen und Projektdaten manipulieren oder sogar löschen. In einer Warnmeldung versichern die Entwickler, dass sie die Ausgaben 18.11.11, 19.0.8, 19.1.6 und 19.2.4 der GitLab Community Edition und Enterprise Edition repariert haben. Admins von On-Premises-Installationen sollten zeitnah handeln und eine der aktuellen Versionen installieren. Den Entwicklern zufolge sind auf GitLab.com bereits die reparierten Versionen installiert. Nutzen Angreifer eine „kritische“ Sicherheitslücke (CVE-2026-19478) aus, können sie öffentliche Projekte und Nutzerdaten verändern oder löschen. Die Schwachstelle findet sich in der GraphQL-API einer GitLab-Instanz. Kann ein Angreifer darauf zugreifen, nutzt er die Lücke mit präparierten GraphQL-Anfragen aus. Im zweiten Fall (CVE-2026-19650 „hoch“) muss ein Opfer mitspielen und etwa auf einen manipulierten Link klicken. Im Anschluss kann ein Angreifer über GET-Anfragen an der GraphQL-API ansetzen und etwa Projekteinstellungen verändern. Wenn ein Opfer Admin-Rechte hat, könnte ein Angreifer mit diesen Rechten ausgestattet ganze Instanzen kompromittieren. Bislang gibt es vom Softwareentwickler keine Hinweise, dass Angreifer die Lücken bereits ausnutzen. Sie raten aber dringend zu einem zügigen Update. Demzufolge sollten Admins die Patches demnächst installieren, um ihre Instanzen vor möglichen Attacken zu schützen. Schließlich können Angreifer in Softwareentwicklungsumgebungen ziemliches Unheil anrichten. Wer eine nicht mehr im Support befindliche Ausgabe nutzt, muss auf eine noch unterstützte upgraden. Zuletzt haben die GitLab-Entwickler Ende Juli zu einem zügigen Update geraten. Ob Sicherheitslücken, Viren oder Trojaner – alle sicherheitsrelevanten Meldungen gibts bei heise security Ausführliche Informationen zum Versandverfahren und zu Ihren Widerrufsmöglichkeiten erhalten Sie in unserer Datenschutzerklärung.