CVE-2026-19478: Unauthentifizierte Manipulation in GitLab CE/EE (self-managed)
Dieser Text wurde mit künstlicher Intelligenz (KI) erstellt.Update 21.08.2026: GitLab bestätigt aktive Ausnutzung von CVE-2026-19478 kurz nach Veröffentlichung der Patch-Releases. Die Schwachstelle wurde in die CISA KEV-Liste aufgenommen. Details siehe unten.
GitLab hat eine Schwachstelle in GitLab CE/EE (self-managed) behoben, die unter bestimmten Bedingungen einem nicht authentifizierten Angreifer ermöglichen kann, öffentliche Projekte und Nutzerdaten aus der Ferne zu verändern oder zu löschen. Der beschriebene Angriffsweg erfolgt über eine GraphQL-Directive. Der CVSS-Score ist laut GitLab mit 9.4 angegeben. Quelle: GitLab Advisory.
GitLab nennt laut Advisory folgende betroffene Bereiche (self-managed GitLab CE/EE):
>= 18.2 und < 18.11.11
>= 19.0 und < 19.0.8
>= 19.1 und < 19.1.6
>= 19.2 und < 19.2.4
Als gepatchte Versionen werden genannt:
18.11.11
19.0.8
19.1.6
19.2.4
Quelle: GitLab (Advisory/Work Item und Patch-Release-Dokumentation).
Operative Relevanz: Warum diese Lücke priorisiert werden sollte
Für Security-, Plattform- und DevOps-Teams ist die Kombination aus Remote-Angriff, keinen erforderlichen Privilegien (PR:N) und keiner User-Interaktion (UI:N) ein klares Signal für hohe Priorität. Der CVSS-Vektor weist zudem auf hohe Auswirkungen auf Integrität und Verfügbarkeit (I:H/A:H) hin.
Die Schwachstelle wird aktiv ausgenutzt. GitLab dokumentiert in aktuellen Informationen, dass CVE-2026-19478 kurz nach Veröffentlichung der Patch-Releases in freier Wildbahn beobachtet wurde. Die CISA hat die Schwachstelle in die Known Exploited Vulnerabilities (KEV)-Liste aufgenommen. Die Priorisierung ergibt sich daher aus bestätigter aktiver Ausnutzung, Angriffsweg, Berechtigungsniveau und möglicher Auswirkung sowie der Tatsache, dass Patch-Releases verfügbar sind.
Organisationen in Deutschland und Österreich, die GitLab CE/EE self-managed in NIS-2-pflichtigen Umgebungen betreiben, sollten den Patchstatus zeitnah dokumentieren und intern eskalieren. Für Organisationen in der Schweiz gilt analog das revidierte Informationssicherheitsgesetz (ISG) mit Meldepflicht ans BACS. Kommt es im Zuge einer Ausnutzung zu einem Datenschutzvorfall mit Personenbezug, greift die DSGVO-Meldepflicht nach Art. 33 (72-Stunden-Frist gegenüber der zuständigen Aufsichtsbehörde).
Quelle: GitLab.
Patch-Strategie (self-managed): Vorgehen entlang der Release-Zweige
GitLab stellt Fixes als Patch-Releases für mehrere Release-Zweige bereit. Operativ bedeutet das:
Betroffenheit prüfen: Liegt die eingesetzte GitLab CE/EE-Version in einem der genannten Bereiche?
Upgrade im genutzten Zweig: Upgrade auf 18.11.11, 19.0.8, 19.1.6 oder 19.2.4 (je nach Branch).
Priorisierung nach Exponierung: Systeme mit externer Erreichbarkeit und Relevanz für öffentliche Projekte zuerst. Aufgrund der bestätigten aktiven Ausnutzung ist höchste Dringlichkeit geboten.
Dokumentation: Patchstatus und Umsetzung nachvollziehbar festhalten.
Als Orientierung nennt GitLab zudem: GitLab.com-Instanzen seien dem üblichen Vendor-Muster zufolge bereits gepatcht; GitLab Dedicated-Kunden müssten typischerweise keine Aktion einleiten.
Quelle: GitLab.
EASM- und VRM-Perspektive auf CVE-2026-19478
Bei Schwachstellen in selbst gehosteten Plattformen wie GitLab hängt die praktische Risikolage häufig daran, welche Instanzen überhaupt extern sichtbar sind (z. B. unter einer organisations-eigenen Domain) und damit als Angriffsfläche zählen. GitLab CE/EE ist typischerweise extern fingerprintierbar (z. B. über HTTP-Banner oder Version-Disclosure) und wird häufig unter kunden-eigenen Domains betrieben — nicht selten auch auf Subdomains oder in Cloud-Umgebungen, die dem zentralen Asset-Inventar nicht vollständig bekannt sind.
External Attack Surface Management (EASM) unterstützt dabei, exponierte GitLab-Instanzen systematisch zu erfassen — einschließlich solcher, die als Schatten-IT oder vergessene Deployments betrieben werden — und für die Patch-Priorisierung in den Blick zu nehmen. Im Kontext der bestätigten aktiven Ausnutzung von CVE-2026-19478 ist die vollständige Erfassung aller exponierten Instanzen besonders kritisch. Ergänzend kann Vendor Risk Management (VRM) helfen, Zuständigkeiten und Umsetzungswege zu klären, wenn Betrieb oder Updates durch Dritte erfolgen.
LocateRisk ist Made in Germany und auf DSGVO-Compliance ausgelegt; der Betrieb erfolgt ausschließlich in zertifizierten deutschen Rechenzentren, ohne Datenweiterleitung an US-Dienstleister.
Bin ich betroffen?
Betroffen ist GitLab in den oben genannten Versionen; behoben wurde die Schwachstelle in 18.11.11, 19.0.8, 19.1.6, 19.2.4. Wer wissen will, ob GitLab in der eigenen extern erreichbaren Infrastruktur überhaupt sichtbar ist, kann den CVE-Quick-Check am Ende dieses Artikels nutzen: Er zeigt exponierte Systeme und die von außen erkennbare Software.
Die konkret installierte Version lässt sich von außen nicht in jedem Fall bestimmen — ausschlaggebend ist der Abgleich mit dem Hersteller-Advisory.
Betroffen sind laut GitLab alle self-managed CE/EE-Installationen in den Bereichen >= 18.2 und < 18.11.11, >= 19.0 und < 19.0.8, >= 19.1 und < 19.1.6 sowie >= 19.2 und < 19.2.4. Versionen unterhalb von 18.2 werden in der aktuellen Advisory nicht als betroffen aufgeführt.
Nein — dem üblichen Patch-Muster von GitLab zufolge sind GitLab.com-Instanzen bereits auf die gepatchte Version aktualisiert. GitLab-Dedicated-Kunden müssen typischerweise ebenfalls keine eigene Aktion einleiten. Handlungsbedarf besteht ausschließlich für Betreiber von self-managed GitLab CE/EE-Installationen.
GitLab bestätigt aktive Ausnutzung von CVE-2026-19478 kurz nach Veröffentlichung der Patch-Releases. Die CISA hat die Schwachstelle in die KEV-Liste aufgenommen. Der CVSS-Score von 9.4 und der Angriffsvektor (netzwerkbasiert, kein Angreiferkonto erforderlich, keine Nutzerinteraktion) in Kombination mit bestätigter aktiver Ausnutzung begründen höchste Priorisierung. Ein sofortiges Upgrade auf eine der gepatchten Versionen wird dringend empfohlen.
Die Aufnahme in die CISA Known Exploited Vulnerabilities (KEV)-Liste signalisiert, dass die Schwachstelle aktiv von Angreifern ausgenutzt wird. Für US-Bundesbehörden besteht eine verbindliche Patch-Frist. Auch außerhalb der USA gilt die KEV-Listung als klares Signal für höchste Dringlichkeit bei der Patch-Umsetzung. Organisationen sollten CVE-2026-19478 als kritische Bedrohung behandeln und Patch-Maßnahmen priorisieren.
Stand: 21.08.2026. Dieser Beitrag dient allgemeinen Informationszwecken und ist keine Rechts-, Sicherheits- oder Handlungsberatung im Einzelfall. Sicherheitslage und Patch-Verfügbarkeit können sich seit der Veröffentlichung geändert haben; maßgeblich ist stets das verlinkte Hersteller-Advisory. Trotz sorgfältiger Recherche übernehmen wir keine Gewähr für Aktualität, Richtigkeit und Vollständigkeit.
CVE Quick Check
Prüfen Sie in wenigen Minuten, ob zu einer aktuellen CVE Hinweise auf Ihrer extern sichtbaren Angriffsfläche erkennbar sind.
Grobe Einschätzung in wenigen Minuten per E-Mail.
Details im kostenlosen Gespräch mit einem LocateRisk Consultant.
Das erhalten Sie per E-Mail
UnternehmenIhre Firma GmbH
Geprüfte CVECVE-2026-19478
Passive Bewertung
Hinweise zur CVEgefunden oder nicht gefunden
Mehr erfahren, Demo buchen oder einfach mal kurz austauschen? Wir freuen uns!
We use cookies to optimize our website and our service.
Functional
Immer aktiv
Die technische Speicherung oder der Zugang ist unbedingt erforderlich für den rechtmäßigen Zweck, die Nutzung eines bestimmten Dienstes zu ermöglichen, der vom Teilnehmer oder Nutzer ausdrücklich gewünscht wird, oder für den alleinigen Zweck, die Übertragung einer Nachricht über ein elektronisches Kommunikationsnetz durchzuführen.
Vorlieben
Die technische Speicherung oder der Zugriff ist für den rechtmäßigen Zweck der Speicherung von Präferenzen erforderlich, die nicht vom Abonnenten oder Benutzer angefordert wurden.
Statistics
Die technische Speicherung oder der Zugriff, der ausschließlich zu statistischen Zwecken erfolgt.Die technische Speicherung oder der Zugriff, der ausschließlich zu anonymen statistischen Zwecken verwendet wird. Ohne eine Vorladung, die freiwillige Zustimmung deines Internetdienstanbieters oder zusätzliche Aufzeichnungen von Dritten können die zu diesem Zweck gespeicherten oder abgerufenen Informationen allein in der Regel nicht dazu verwendet werden, dich zu identifizieren.
Marketing
Die technische Speicherung oder der Zugriff ist erforderlich, um Nutzerprofile zu erstellen, um Werbung zu versenden oder um den Nutzer auf einer Website oder über mehrere Websites hinweg zu ähnlichen Marketingzwecken zu verfolgen.
Deutsch 
English 
Français