CVE-2026-19478: Unauthentifizierte Manipulation in GitLab CE/EE (self-managed)
Ce texte a été généré par l'intelligence artificielle (IA).GitLab hat eine Schwachstelle in GitLab CE/EE (self-managed) behoben, die unter bestimmten Bedingungen einem nicht authentifizierten Angreifer ermöglichen kann, öffentliche Projekte und Nutzerdaten aus der Ferne zu verändern oder zu löschen. Der beschriebene Angriffsweg erfolgt über eine GraphQL-Directive. Der CVSS-Score ist laut GitLab mit 9.4 angegeben. Quelle: GitLab Advisory.
GitLab nennt laut Advisory folgende betroffene Bereiche (self-managed GitLab CE/EE):
>= 18.2 und < 18.11.11
>= 19.0 und < 19.0.8
>= 19.1 und < 19.1.6
>= 19.2 und < 19.2.4
Als gepatchte Versionen werden genannt:
18.11.11
19.0.8
19.1.6
19.2.4
Quelle: GitLab (Advisory/Work Item und Patch-Release-Dokumentation).
Operative Relevanz: Warum diese Lücke priorisiert werden sollte
Für Security-, Plattform- und DevOps-Teams ist die Kombination aus Remote-Angriff, keinen erforderlichen Privilegien (PR:N) et keiner User-Interaktion (UI:N) ein klares Signal für hohe Priorität. Der CVSS-Vektor weist zudem auf hohe Auswirkungen auf Integrität und Verfügbarkeit (I:H/A:H) hin.
GitLab dokumentiert in den vorliegenden Informationen keine Indicators of Compromise (IOCs) und führt die Schwachstelle pas als aktiv ausgenutzt. Die Priorisierung ergibt sich daher primär aus Angriffsweg, Berechtigungsniveau und möglicher Auswirkung sowie der Tatsache, dass Patch-Releases verfügbar sind.
Organisationen in Deutschland und Österreich, die GitLab CE/EE self-managed in NIS-2-pflichtigen Umgebungen betreiben, sollten den Patchstatus zeitnah dokumentieren und intern eskalieren. Für Organisationen in der Schweiz gilt analog das revidierte Informationssicherheitsgesetz (ISG) mit Meldepflicht ans BACS. Kommt es im Zuge einer Ausnutzung zu einem Datenschutzvorfall mit Personenbezug, greift die DSGVO-Meldepflicht nach Art. 33 (72-Stunden-Frist gegenüber der zuständigen Aufsichtsbehörde).
Quelle: GitLab.
Patch-Strategie (self-managed): Vorgehen entlang der Release-Zweige
GitLab stellt Fixes als Patch-Releases für mehrere Release-Zweige bereit. Operativ bedeutet das:
Vérifier si l'on est concerné : Liegt die eingesetzte GitLab CE/EE-Version in einem der genannten Bereiche?
Upgrade im genutzten Zweig: Mise à niveau vers 18.11.11, 19.0.8, 19.1.6 ou 19.2.4 (je nach Branch).
Priorisierung nach Exponierung: Systeme mit externer Erreichbarkeit und Relevanz für öffentliche Projekte zuerst.
Dokumentation: Patchstatus und Umsetzung nachvollziehbar festhalten.
Als Orientierung nennt GitLab zudem: GitLab.com-Instanzen seien dem üblichen Vendor-Muster zufolge bereits gepatcht; GitLab Dedicated-Kunden müssten typischerweise keine Aktion einleiten.
Quelle: GitLab.
EASM- und VRM-Perspektive auf CVE-2026-19478
Bei Schwachstellen in selbst gehosteten Plattformen wie GitLab hängt die praktische Risikolage häufig daran, welche Instanzen überhaupt extern sichtbar sind (z. B. unter einer organisations-eigenen Domain) und damit als Angriffsfläche zählen. GitLab CE/EE ist typischerweise extern fingerprintierbar (z. B. über HTTP-Banner oder Version-Disclosure) und wird häufig unter kunden-eigenen Domains betrieben — nicht selten auch auf Subdomains oder in Cloud-Umgebungen, die dem zentralen Asset-Inventar nicht vollständig bekannt sind.
External Attack Surface Management (EASM) unterstützt dabei, exponierte GitLab-Instanzen systematisch zu erfassen — einschließlich solcher, die als Schatten-IT oder vergessene Deployments betrieben werden — und für die Patch-Priorisierung in den Blick zu nehmen. Ergänzend kann Vendor Risk Management (VRM) helfen, Zuständigkeiten und Umsetzungswege zu klären, wenn Betrieb oder Updates durch Dritte erfolgen.
LocateRisk ist Fabriqué en Allemagne und auf DSGVO-Compliance ausgelegt; der Betrieb erfolgt ausschließlich in zertifizierten deutschen Rechenzentren, ohne Datenweiterleitung an US-Dienstleister.
Suis-je concerné ?
Betroffen ist gitlab in den oben genannten Versionen; behoben wurde die Schwachstelle in 18.11.11, 19.0.8, 19.1.6, 19.2.4. Wer wissen will, ob gitlab in der eigenen extern erreichbaren Infrastruktur überhaupt sichtbar ist, kann den Vérification rapide CVE à consulter à la fin de cet article : il présente les systèmes exposés et les logiciels identifiables depuis l'extérieur.
Die konkret installierte Version lässt sich von außen nicht in jedem Fall bestimmen — ausschlaggebend ist der Abgleich mit dem Hersteller-Advisory.
Betroffen sind laut GitLab alle self-managed CE/EE-Installationen in den Bereichen >= 18.2 und < 18.11.11, >= 19.0 und < 19.0.8, >= 19.1 und < 19.1.6 sowie >= 19.2 und < 19.2.4. Versionen unterhalb von 18.2 werden in der aktuellen Advisory nicht als betroffen aufgeführt.
Nein — dem üblichen Patch-Muster von GitLab zufolge sind GitLab.com-Instanzen bereits auf die gepatchte Version aktualisiert. GitLab-Dedicated-Kunden müssen typischerweise ebenfalls keine eigene Aktion einleiten. Handlungsbedarf besteht ausschließlich für Betreiber von self-managed GitLab CE/EE-Installationen.
GitLab führt CVE-2026-19478 laut vorliegender Information nicht als aktiv ausgenutzt. Der CVSS-Score von 9.4 und der Angriffsvektor (netzwerkbasiert, kein Angreiferkonto erforderlich, keine Nutzerinteraktion) begründen dennoch eine hohe Priorisierung: Sobald technische Details öffentlich werden, kann die Hürde für eine Ausnutzung sinken. Ein zeitnahes Upgrade auf eine der gepatchten Versionen wird dringend empfohlen.
Stand: 17.08.2026. Dieser Beitrag dient allgemeinen Informationszwecken und ist keine Rechts-, Sicherheits- oder Handlungsberatung im Einzelfall. Sicherheitslage und Patch-Verfügbarkeit können sich seit der Veröffentlichung geändert haben; maßgeblich ist stets das verlinkte Hersteller-Advisory. Trotz sorgfältiger Recherche übernehmen wir keine Gewähr für Aktualität, Richtigkeit und Vollständigkeit.
Vérification rapide CVE
Vérifiez en quelques minutes si votre surface d'attaque visible depuis l'extérieur présente des indices liés à une vulnérabilité CVE actuelle.
Une estimation approximative en quelques minutes par e-mail.
Pour en savoir plus, contactez gratuitement un consultant LocateRisk.
Vous recevrez cela par e-mail
EntreprisesVotre société GmbH
CVE vérifiésCVE-2024-3094
Évaluation passive
Remarques concernant le CVEIndications trouvées
En savoir plus, réserver une démo ou simplement échanger quelques mots ? Nous nous en réjouissons !
Nous utilisons des cookies pour optimiser notre site web et nos services.
Fonctionnel
Toujours activé
le stockage technique ou l'accès est strictement nécessaire dans le but légitime de permettre l'utilisation d'un service spécifique expressément demandé par l'abonné ou l'utilisateur, ou dans le seul but d'effectuer la transmission d'une communication par la voie d'un réseau de communications électroniques
Préférences
le stockage ou l'accès technique est nécessaire aux fins légitimes de la conservation des préférences qui n'ont pas été demandées par l'abonné ou l'utilisateur.
Statistiques
le stockage ou l'accès technique, à des fins exclusivement statistiques.le stockage ou l'accès technique, utilisé uniquement à des fins statistiques anonymes. En l'absence d'une citation, d'un accord volontaire de ton fournisseur d'accès à Internet ou d'enregistrements supplémentaires de tiers, les informations stockées ou consultées à cette seule fin ne peuvent généralement pas être utilisées pour t'identifier.
Marketing
Le stockage technique ou l'accès est nécessaire pour créer des profils d'utilisateurs, pour envoyer des publicités ou pour suivre l'utilisateur sur un site web ou sur plusieurs sites web à des fins de marketing similaires.
Français 
Deutsch 
English