Installieren Sie umgehend die vom Hersteller bereitgestellten Sicherheitsupdates für alle betroffenen GitLab CE- und EE-Instanzen.
Hoechster CVSS-Basiswert 9.9+18
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
Multiples vulnérabilités dans GitLab (24 septembre 2026)
Mehrere kritische Schwachstellen wurden in GitLab entdeckt, die Angreifern die Ausführung beliebigen Codes, Datenlecks und XSS-Angriffe ermöglichen. Betroffen sind verschiedene Versionen von GitLab Community Edition (CE) und Enterprise Edition (EE). Nutzern wird dringend empfohlen, die vom Hersteller bereitgestellten Sicherheitsupdates umgehend zu installieren.
SecBoard-Einordnung
Diese Schwachstellen können zu schwerwiegenden Sicherheitsverletzungen führen, einschließlich der vollständigen Kompromittierung von Systemen und dem Diebstahl sensibler Daten, was den Betrieb und die Reputation erheblich beeinträchtigen kann.
Realistisch schlimmster Fall: Ein Angreifer könnte beliebigen Code auf den GitLab-Instanzen ausführen, sensible Daten exfiltrieren und Cross-Site-Scripting-Angriffe durchführen, was zu einer vollständigen Systemkompromittierung und weitreichenden Datenverlusten führen kann.
Key Facts
- CVSS
- 9.9 · CRITICAL
- EPSS
- 0.4%
- Über das Netz
- ja
- Anmeldung nötig
- ja
- Nutzerinteraktion nötig
- nein
- Angriffskomplexität
- niedrig
- Beeinträchtigt
- Vertraulichkeit, Integrität, Verfügbarkeit
- Patch
- unbekannt
- Zuweisende CNA
- cve@gitlab.com
- CVSS
- 9.9 · CRITICAL
- EPSS
- 0.4%
- Über das Netz
- ja
- Anmeldung nötig
- ja
- Nutzerinteraktion nötig
- nein
- Angriffskomplexität
- niedrig
- Beeinträchtigt
- Vertraulichkeit, Integrität, Verfügbarkeit
- Patch
- unbekannt
- Zuweisende CNA
- cve@gitlab.com
- CVSS
- 7.7 · HIGH
- EPSS
- 0.2%
- Über das Netz
- ja
- Anmeldung nötig
- ja
- Nutzerinteraktion nötig
- nein
- Angriffskomplexität
- niedrig
- Beeinträchtigt
- Vertraulichkeit
- Patch
- unbekannt
- Zuweisende CNA
- cve@gitlab.com
- CVSS
- 5.4 · MEDIUM
- EPSS
- 0.1%
- Über das Netz
- ja
- Anmeldung nötig
- ja
- Nutzerinteraktion nötig
- nein
- Angriffskomplexität
- niedrig
- Beeinträchtigt
- Vertraulichkeit, Integrität
- Patch
- unbekannt
- Zuweisende CNA
- cve@gitlab.com
- CVSS
- 4.3 · MEDIUM
- EPSS
- 0.2%
- Über das Netz
- ja
- Anmeldung nötig
- ja
- Nutzerinteraktion nötig
- nein
- Angriffskomplexität
- niedrig
- Beeinträchtigt
- Integrität
- Patch
- unbekannt
- Zuweisende CNA
- cve@gitlab.com
- CVSS
- 4.3 · MEDIUM
- EPSS
- 0.1%
- Über das Netz
- ja
- Anmeldung nötig
- ja
- Nutzerinteraktion nötig
- nein
- Angriffskomplexität
- niedrig
- Beeinträchtigt
- Integrität
- Patch
- unbekannt
- Zuweisende CNA
- cve@gitlab.com
- CVSS
- 3.1 · LOW
- EPSS
- 0.1%
- Über das Netz
- ja
- Anmeldung nötig
- ja
- Nutzerinteraktion nötig
- nein
- Angriffskomplexität
- hoch
- Beeinträchtigt
- Vertraulichkeit
- Patch
- unbekannt
- Zuweisende CNA
- cve@gitlab.com
Im Text genannt, liegt uns aber noch nicht vor.
Im Text genannt, liegt uns aber noch nicht vor.
Im Text genannt, liegt uns aber noch nicht vor.
Im Text genannt, liegt uns aber noch nicht vor.
Betroffen
Organisationen, die GitLab Community Edition (CE) oder Enterprise Edition (EE) in den Versionen 19.3.x vor 19.3.3, 19.4.x vor 19.4.1 und alle Versionen vor 19.2.7 verwenden.
Prüfen
3- ▸Überprüfen Sie die installierten Versionen von GitLab CE/EE, um festzustellen, ob sie anfällig sind (19.3.x vor 19.3.3, 19.4.x vor 19.4.1, alle Versionen vor 19.2.7).
- ▸Stellen Sie sicher, dass alle GitLab-Instanzen die neuesten Sicherheitsupdates gemäß dem GitLab-Sicherheitsbulletin erhalten haben.
▸ 1 weitere▾ weniger
- ▸Überwachen Sie GitLab-Logs auf ungewöhnliche Aktivitäten, die auf Code-Ausführung, Datenzugriffe oder XSS-Versuche hindeuten könnten.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Die spezifischen CVE-IDs der Schwachstellen sind im Artikel nicht genannt.
- ▸Es wird nicht spezifiziert, welche Art von Daten von den Lecks betroffen sein könnte.
- ▸Die genauen Angriffsvektoren oder die Komplexität der Ausnutzung werden nicht detailliert beschrieben.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Möglich
- Privilege Escalation relevant?Unklar
- Exploit öffentlich verfügbar?Möglich
- Detection / Logging prüfbar?Möglich
- Für Purple-Team-Szenario geeignet?Unklar
Kundenfragen
- Haben wir GitLab extern erreichbar?
MITRE ATT&CK(3)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„Angreifern die Ausführung beliebigen Codes“
„Datenlecks“
„XSS-Angriffe ermöglichen“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Quellen & Belege· 1 Quelle
Quelle nicht eingeordnet.
- Multiples vulnérabilités dans Papercut (24 septembre 2026)
- Multiples vulnérabilités dans LibreNMS (24 septembre 2026)
- Multiples vulnérabilités dans Zabbix Agent (24 septembre 2026)
- Multiples vulnérabilités dans PHP (24 septembre 2026)
- Multiples vulnérabilités dans GitLab (24 septembre 2026)
- Multiples vulnérabilités dans Wireshark (24 septembre 2026)
- Multiples vulnérabilités dans Apache Tomcat (23 septembre 2026)
- Multiples vulnérabilités dans SolarWinds Observability Self-Hosted (23 septembre 2026)
- Multiples vulnérabilités dans Mattermost Server (23 septembre 2026)
- Multiples vulnérabilités dans Google Chrome (23 septembre 2026)
- Multiples vulnérabilités dans Moodle (22 septembre 2026)
- Multiples vulnérabilités dans Microsoft Edge (21 septembre 2026)
- Multiples vulnérabilités dans Synology DSM (21 septembre 2026)
- Multiples vulnérabilités dans WordPress (18 septembre 2026)
- Multiples vulnérabilités dans Google Chrome (18 septembre 2026)
- Multiples vulnérabilités dans le noyau Linux de SUSE (18 septembre 2026)
- Multiples vulnérabilités dans le noyau Linux d'Ubuntu (18 septembre 2026)
- Multiples vulnérabilités dans le noyau Linux de Red Hat (18 septembre 2026)
- Multiples vulnérabilités dans Drupal (17 septembre 2026)
- Multiples vulnérabilités dans ISC BIND (17 septembre 2026)
- Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.
- Mindestens eine Quelle ist noch nicht nach Herkunftsklasse eingeordnet.
Verknüpfte Intelligence
Dieselben Entitäten an anderer Stelle auf SecBoard.