CVE-2026-19478: GitLab CE/EE: GraphQL-Sicherheitslücke ohne Authentifizierung wird aktiv ausgenutzt

GitLab hat Korrekturen für CVE-2026-19478 (CVSS 9,4, EPSS 0,7 % (51. Perzentil)), eine Code-Injection-Sicherheitslücke mit kritischem Schweregrad [CWE-94], veröffentlicht. Die Sicherheitslücke betrifft die GraphQL-Direktive in der GitLab Community Edition (CE) und der Enterprise Edition (EE). Laut GitLab kann die Schwachstelle unter bestimmten Bedingungen einem nicht authentifizierten Angreifer ermöglichen, öffentliche Projekte und Benutzerdaten aus der Ferne zu ändern oder zu löschen.

watchTowr Labs beobachtete Ausnutzungsversuche, die kurz nach der Offenlegung auf Honeypot-Instanzen abzielten, und CIRCL.lu führt CVE-2026-19478 in seiner Vulnerability Lookup-Liste der aktiv ausgenutzten Schwachstellen mit dem Status „Bestätigt”. Mehrere detaillierte technische Berichte und Proof-of-Concept-Exploits (PoC) sind öffentlich zugänglich, was das Risiko anhaltender Angriffe weiter erhöht. Mehrere nationale CERT-Stellen haben Warnungen zu dieser Schwachstelle herausgegeben [1][2][3][4][5][6][7][8][9][10][11].

Eine weitere CVE wurde in der Offenlegung des Anbieters aufgeführt. CVE-2026-19650 (CVSS 7,1) ist eine Cross-Site-Request-Forgery-Sicherheitslücke (CSRF) [CWE-352], die den GraphQL-Multiplex-Abfrage-Handler betrifft. Bislang wurden keine aktiven Angriffe auf CVE-2026-19650 gemeldet. Organisationen, die selbstverwaltete GitLab-Instanzen betreiben, sollten so schnell wie möglich Abhilfemaßnahmen ergreifen.

Eine Risikobewertung von CVE-2026-19478 in GitLab CE/EE

CVSS 9,4 · KritischEPSS 0,7 % (51.)Aktiv ausgenutztÖffentlicher PoC

CVE-2026-19478 ist aus der Ferne ohne Authentifizierung oder Benutzerinteraktion ausnutzbar. GitLab berichtet, dass die Ausnutzung dieser Schwachstelle es einem nicht authentifizierten Angreifer ermöglicht, aufgrund eines Fehlers im Verhalten der GraphQL-Direktive öffentliche Projekte und Benutzerdaten aus der Ferne zu ändern oder zu löschen. Für Unternehmen, die GitLab als zentrales System für die Softwarebereitstellung nutzen, kann eine unbefugte Änderung zu nachgelagerten Störungen in Build-Pipelines und Produktions-Release-Workflows führen.

Als DevOps-/DevSecOps-Plattform steht GitLab häufig im Zentrum von Entwicklungs-, Sicherheits- und Betriebsabläufen. Eine erfolgreiche Ausnutzung kann daher schwerwiegende Folgen haben, insbesondere wenn GitLab in automatisierte Bereitstellungsprozesse und CI/CD-Workflows integriert ist. Es ist zudem denkbar, dass GitLab-Instanzen, die für CVE-2026-19478 anfällig sind, bei zukünftigen Supply-Chain-Angriffen ausgenutzt werden könnten.

watchTowr Labs gibt an, CVE-2026-19478 innerhalb weniger Minuten nach seiner Offenlegung durch Analyse des gepatchten Codes reproduziert zu haben. watchTowr beobachtete zudem Honeypot-Aktivitäten, die auf Ausnutzungsversuche in freier Wildbahn hindeuten. Mehrere detaillierte technische Analysen [1][2][3] und PoC-Exploits sind verfügbar [4][5][6], was das Risiko anhaltender Angriffe erhöht. Mehrere nationale CERT-Behörden haben Warnungen zu dieser Sicherheitslücke herausgegeben [7][8][9][10][11][12][13][14][15][15][16].

Technische Details zu CVE-2026-19478 in GitLab CE/EE

CVE-2026-19478 (CVSS 9,4, EPSS 0,7 % (51. Perzentil)) ist eine Code-Injection-Sicherheitslücke in GitLab CE/EE, die über die GraphQL-Direktive ausgenutzt werden kann. Zur Ausnutzung sind lediglich eine einzige nicht authentifizierte HTTP-Anfrage an einen GraphQL-Endpunkt sowie die Möglichkeit erforderlich, ein nicht authentifiziertes Objekt aufzulösen, beispielsweise ein öffentliches Projekt oder ein zugängliches Benutzerobjekt. Die Schwachstelle geht auf die FutureFieldFallback-Logik zurück, die GraphQL-Felder dynamisch ohne expliziten Resolver erstellt. Ohne einen expliziten Resolver nutzt graphql-ruby anschließend das vom Angreifer kontrollierte Feld, um eine aufrufbare Ruby-Methode auf dem zugrunde liegenden Objekt auszuführen. Durch Ausnutzung dieser Schwachstelle kann ein nicht authentifizierter Angreifer Ruby-Methoden ohne Argumente aufrufen, um eine eingeschränkte Befehlsausführung auszulösen.

Die Angriffsbedingungen für CVE-2026-19478 lauten:

1. Der Angreifer muss in der Lage sein, den GraphQL-Endpunkt zu erreichen und ein Objekt aufzulösen, auf das ohne Authentifizierung zugegriffen werden kann, wie beispielsweise ein öffentliches Projekt oder ein zugängliches Benutzerobjekt.
2. Die böswillige Abfrage muss @gl_introduced, eine GitLab-spezifische GraphQL-Direktive, verwenden, um ein Feld anzugeben, das im aktuellen GraphQL-Schema der Instanz nicht vorhanden ist, und gleichzeitig eine zukünftige GitLab-Version anzugeben. Die Funktion @gl_introduced dient der Unterstützung der Versionskompatibilität: Felder, die in einer neueren GitLab-Version eingeführt wurden, können ignoriert werden, wenn sie auf einem älteren Backend ausgelöst werden.
3. Das Ausnutzen der fehlerhaften Logik führt dazu, dass das Ruby-Modul FutureFieldFallback ein GraphQL::Schema::Field-Objekt für das ansonsten nicht vorhandene, vom Client angeforderte Feld synthetisiert.
4. Wie von graphql-ruby dokumentiert, wird der Feldname als Methodenname verwendet, sofern keine explizit konfigurierte Methode oder kein Resolver vorhanden ist. Dieser Schritt der Exploit-Kette ermöglicht es, dass der vom Angreifer kontrollierte Feldname eine aufrufbare Ruby-Methode auslöst.
5. Für eine Änderung oder Löschung muss die ausgelöste Ruby-Methode eine zustandsändernde Methode sein, die ohne Argumente auf dem exponierten Objekt ausgeführt werden kann. Öffentliches Detektionsmaterial demonstriert die Verwendung der touch-Ruby-Methode gegen ein öffentliches Projekt oder zugehörige Benutzerdaten.

Abwehrmaßnahmen gegen CVE-2026-19478 und CVE-2026-19650 in GitLab CE/EE

CVE-2026-19478 betrifft alle Versionen der Zweige 18.2, 19.0, 19.1 und 19.2 selbstverwalteter GitLab CE/EE-Installationen vor den gepatchten Versionen. GitLab hat Patches in den Versionen 18.11.11, 19.0.8, 19.1.6 und 19.2.4 veröffentlicht. Für Organisationen, die selbstverwaltete GitLab CE/EE-Instanzen betreiben, ist ein Upgrade auf eine behobene Version die wichtigste Abhilfemaßnahme. Nutzer von GitLab.com und GitLab Dedicated müssen keine Maßnahmen ergreifen.

Produkt	Betroffene Versionen	Behobene Version
GitLab Community Edition (CE) und Enterprise Edition (EE)	alle Versionen von 18.2 vor 18.11.11	18.11.11
GitLab CE und EE	alle Versionen von 19.0 vor 19.0.8	19.0.8
GitLab CE und EE	alle Versionen von 19.1 vor 19.1.6	19.1.6
GitLab CE und EE	alle Versionen von 19.2 vor 19.2.4	19.2.4

Der Anbieter hat keine Workarounds oder vorübergehenden Abhilfemaßnahmen bereitgestellt. Für Benutzer, die nicht sofort einen Patch installieren können, lassen sich jedoch zusätzliche Ausgleichsmaßnahmen implementieren, um das durch CVE-2026-19478 und CVE-2026-19650 verursachte Risiko zu verringern:

• Den externen Zugriff auf selbstverwaltete GitLab-Instanzen einschränken, sofern dies betrieblich machbar ist
• Den öffentlichen Zugriff auf Repositorys wo immer möglich einschränken
• Auf unzulässige GraphQL-Anfragen und unbefugte Änderungen an Projekten oder Benutzerdaten achten

Bei Instanzen mit Internetzugang sollte die Installation des Patches Priorität haben. Beide CVEs könnten jedoch auch von Angreifern ausgenutzt werden, die bereits einen Zugang zum Netzwerk des Opfers haben, oder von böswilligen Insidern. Sicherheitsteams sollten zudem die Integrität öffentlicher Projekte und der zugehörigen Benutzerdaten überprüfen, insbesondere dort, wo GitLab mit Build- oder Release-Workflows verknüpft ist.

Zusammenfassung

Die GitLab-Versionen 18.11.11, 19.0.8, 19.1.6 und 19.2.4 wurden veröffentlicht, um die Schwachstellen CVE-2026-19478 und CVE-2026-19650 zu beheben. Die Schwachstellen betreffen alle früheren Versionen der betroffenen Release-Zweige. CVE-2026-19478 ist eine aktiv ausgenutzte, als „kritisch“ eingestufte Code-Injection-Sicherheitslücke in der GraphQL-Direktive, die es nicht authentifizierten Angreifern ermöglicht, öffentliche Projekte und Benutzerdaten aus der Ferne zu ändern oder zu löschen. Öffentlich zugängliche technische Berichte [1][2][3] und PoC-Exploits [4][5][6] erhöhen die Dringlichkeit einer Aktualisierung der betroffenen GitLab-Systeme noch weiter. Mehrere nationale CERT-Behörden haben Warnungen zu dieser Sicherheitslücke herausgegeben [7][8][9][10][11][12][13][14][15][15][16], was auf ein hohes globales Risiko hindeutet.