CVE-2026-85706: CVSS-10-Schwachstelle in der GitLab-CE/EE-API wird aktiv ausgenutzt

CVE-2026-85706 (CVSS 10, EPSS 96. Perzentil), veröffentlicht am 12. September 2026, ist eine kritische Path-Traversal-Schwachstelle in der Commits API und der Repository Files API des GitLab-CE/EE-Repositorys. Durch die Ausnutzung kann ein nicht authentifizierter Angreifer beliebige Dateien vom GitLab-Server betroffener selbstverwalteter Instanzen lesen. Der nicht authentifizierte Angriffsweg erfordert jedoch mindestens ein anonym lesbares Projekt mit aktiviertem Repository-Zugriff.

Die Schwachstelle wurde am 11. September in CISAs Katalog der Known Exploited Vulnerabilities (KEV) aufgenommen. Das Sicherheitsunternehmen watchTowr berichtete von Scans gegen sein Honeypot-Netzwerk. Für CVE-2026-85706 liegen mehrere detaillierte technische Analysen vor, die auch Proof-of-Concept-Exploit-Code (PoC) bereitstellen [1][2][3][4][5], was das Risiko fortgesetzter Angriffe weiter erhöht. Für CVE-2026-85706 wurden zahlreiche nationale CERT-Warnungen veröffentlicht [6][7][8][9][10][11][12][13][14][15][16][17][18].

CVE-2026-85706 wurde zusammen mit 17 weiteren CVEs in einem einzigen koordinierten Release behoben, von denen eine weitere als kritisch eingestuft ist. Updates für selbstverwaltete GitLab-Installationen sind in den Versionen 19.1.8, 19.2.6 und 19.3.2 verfügbar. Sicherheitsverantwortliche sollten die Updates so schnell wie möglich einspielen.

Risikobewertung von CVE-2026-85706 in GitLab CE/EE

GitLab ist eine weit verbreitete DevOps-Plattform für Quellcodeverwaltung, CI/CD-Pipelines und Application-Security-Workflows. CVE-2026-85706 gilt als aktiv ausgenutzt und wurde in CISAs KEV-Liste aufgenommen. Mehrere detaillierte technische Analysen mit PoC-Exploit-Code sind verfügbar [1][2][3][4][5].

Instanzen enthalten häufig sensible Ressourcen wie Quellcode, Zugangsdaten und CI/CD-Konfigurationsdaten. Eine remote ausnutzbare, nicht authentifizierte Schwachstelle zum Lesen von Dateien stellt ein kritisch hohes Risiko für Entwicklungs- und Software-Release-Prozesse dar. Eine Kompromittierung kann außerdem Supply-Chain-Angriffe, unbefugten Zugriff auf Cloud-Ressourcen oder eine seitliche Ausbreitung im Netzwerk des Opfers ermöglichen.

Beispiele sind Konfigurations- und Secret-Dateien wie gitlab.yml, secrets.yml, gitlab-secrets.json und database.yml. Weitere mögliche Expositionen umfassen private SSH-Schlüssel, .pem-Zertifikatsdateien, .env-Dateien sowie SMTP– oder LDAP-Zugangsdaten und mehr. Wird die Secret Key Base der Instanz offengelegt, können Angreifer möglicherweise Sitzungen und Tokens fälschen sowie gespeicherte CI/CD-Variablen und Multi-Faktor-Authentifizierungs-Antworten (MFA) entschlüsseln. Quellcode und anderes wertvolles geistiges Eigentum stellen weitere potenzielle Risiken für Datendiebstahl dar.

Technische Details zu CVE-2026-85706 in GitLab CE/EE

CVSS 10 · KritischEPSS 11,1 % (96.)Aktiv ausgenutztCISA-KEV-gelistetÖffentlicher PoC

CVE-2026-85706 (CVSS 10, EPSS ≥ 96. Perzentil) ist eine Path-Traversal-Schwachstelle [CWE-22] in Kombination mit einer fehlenden Authentifizierungsprüfung [CWE-306]. GitLabs Patch-Hinweise nennen die Commits API als betroffene Schnittstelle. Unabhängige Analysen haben das gleiche verwundbare Verhalten jedoch auch in der Repository Files API nachgewiesen, über POST– und PUT-Operationen [1].

Die Ausnutzung ermöglicht das Lesen beliebiger Dateien vom GitLab-Server, nicht jedoch eine direkte Remote Code Execution (RCE). Zudem ist mindestens ein anonym lesbares Projekt mit aktiviertem Repository-Zugriff erforderlich. Die Primitive zum beliebigen Dateilesen wird mit den Berechtigungen des GitLab-Dienstkontexts ausgeführt, in der Regel des Benutzers git.

Ausnutzungspfad und mögliche Folgeauswirkungen

1. Die Ausnutzung kann über eine einzelne nicht authentifizierte POST-Anfrage erfolgen. Mehrere funktionierende PoCs zielen auf den HTTP-Header Content-Type: application/x-www-form-urlencoded.
2. Die manipulierte Anfrage muss die authorize_read_code!-Prüfung des Projekts umgehen. Der Angreifer muss daher ein anonym lesbares Projekt mit zugänglichem Repository identifizieren, in der Regel ein öffentliches Projekt.
3. Dateien außerhalb des vorgesehenen Bereichs werden über speziell präparierte Werte für metadata.path oder file.path angegeben. Exploits können dabei Routen- und Parameter-Encoding-Techniken wie Trailing-Slash- und Percent-Encoding nutzen.
4. Ein verwundbarer GitLab-Server liest die vom Angreifer ausgewählte Datei und gibt deren Inhalt über einen Fehlerbehandlungspfad zurück, der die Dateidaten im Body einer HTTP-400-Antwort reflektiert.
5. Der Diebstahl von Zugangsdaten kann eine umfassendere Kompromittierung begünstigen und potenziell zu einer seitlichen Ausbreitung im Netzwerk des Opfers führen.

CVE-2026-85706: Betroffene Versionen und Gegenmaßnahmen

CVE-2026-85706 wurde zusammen mit 17 weiteren CVEs in einem einzigen Release behoben, von denen eine weitere als kritisch eingestuft ist. Die betroffenen Versionen der jeweiligen CVEs finden Sie in GitLabs Release Notes. GitLab zufolge wurde die von GitLab verwaltete Infrastruktur, einschließlich GitLab.com und GitLab Dedicated, bereits gepatcht.

Für die aktiv ausgenutzte Schwachstelle CVE-2026-85706 sind folgende Versionen betroffen: 18.7 vor 19.1.8, 19.2 vor 19.2.6 und 19.3 vor 19.3.2. Für 18.x- oder 19.0.x-Releases gibt es keinen Patch; Nutzende müssen mindestens auf Version 19.1.8 aktualisieren. GitLab hat keine Workaround-Maßnahmen vorgeschlagen. Sinnvolle vorübergehende Gegenmaßnahmen sind jedoch, GitLab aus dem öffentlichen Internet zu entfernen, die Konnektivität auf vertrauenswürdige IP-Adressen zu beschränken und eine Web Application Firewall (WAF) einzusetzen, um gezielt Datenverkehr auf die Commits API und die Repository Files API zu filtern.

Angesichts der aktiven Ausnutzung und des operativen Risikos einer Kompromittierung von GitLab sollten Nutzende betroffener selbstverwalteter Versionen das Patchen und die Validierung beschleunigen.

Produkt	Betroffene Versionen	Behobene Versionen
Selbstverwaltete GitLab-CE/EE-Installationen	18.7 vor 19.1.8	19.1.8
	19.2 vor 19.2.6	19.2.6
	19.3 vor 19.3.2	19.3.2

Zusammenfassung

CVE-2026-85706, veröffentlicht am 12. September 2026, ist eine kritische Path-Traversal-Schwachstelle in GitLab CE/EE, die nicht authentifizierten Angreifern das Lesen beliebiger Dateien von betroffenen selbstverwalteten Servern ermöglicht. Die Ausnutzung stellt ein hohes Risiko für softwareproduzierende Unternehmen und nachgelagerte Lieferketten dar. Das Risiko wird durch die aktive Ausnutzung der Schwachstelle, zahlreiche öffentliche technische Analysen und PoC-Exploit-Code weiter erhöht.