GitLab: Mehrere Schwachstellen
WID-SEC-2026-3315 · primera publicación 11.09.2026 · actualizado 30.09.2026 · CVSS 10,0
De qué se trata
GitLab ist eine Webanwendung zur Versionsverwaltung für Softwareprojekte auf Basis von git. Ein Angreifer kann mehrere Schwachstellen in GitLab ausnutzen, um beliebigen Code auszuführen, erweiterte Berechtigungen zu erlangen, Sicherheitsmaßnahmen zu umgehen, sensible Informationen oder Anmeldedaten offenzulegen, Daten zu manipulieren, Cross-Site-Scripting-Angriffe durchzuführen oder Denial-of-Service-Zustände zu verursachen.
¿En qué condiciones?
El BSI no indica requisitos especiales. Explotable a distancia según el BSI.
Lo que puede pasar en el peor de los casos
Un atacante podría aprovechar la vulnerabilidad para
- beliebigen Code auszuführen
- erweiterte Berechtigungen zu erlangen
- Sicherheitsmaßnahmen zu umgehen
- sensible Informationen oder Anmeldedaten offenzulegen
- Daten zu manipulieren
- Cross-Site-Scripting-Angriffe durchzuführen oder Denial-of-Service-Zustände zu verursachen
¿Me afecta?
Afectados según el BSI:
- Open Source GitLab <19.3.2
- Open Source GitLab <19.2.6
- Open Source GitLab <19.1.8
- Open Source GitLab <18.11.12
- Open Source GitLab <19.0.9
La versión instalada suele aparecer en «Ayuda → Acerca de» o en la interfaz de administración del dispositivo.
¿Qué ayuda?
Actualizar como mínimo a:
- Open Source GitLab 19.3.2
- Open Source GitLab 19.2.6
- Open Source GitLab 19.1.8
- Open Source GitLab 18.11.12
- Open Source GitLab 19.0.9
¿Se está explotando ya la vulnerabilidad?
- CVE-2026-85706: explotada en la práctica según la CISA, en el catálogo desde el 11.09.2026.
Información y fuentes
- Aviso original del BSI (WID)
- GitLab Critical Patch Release: 19.3.2, 19.2.6, 19.1.8 vom 2026-09-10 docs.gitlab.com
- CISA Known Exploited Vulnerabilities Catalog vom 2026-09-13 www.cisa.gov
- GitLab Critical Patch Release: 19.0.9, 18.11.12 vom 2026-09-30 docs.gitlab.com
CVE: CVE-2024-11222, CVE-2025-14871, CVE-2026-1168, CVE-2026-12910, CVE-2026-13210, CVE-2026-16794, CVE-2026-19619, CVE-2026-3855, CVE-2026-7514, CVE-2026-78252, CVE-2026-79708, CVE-2026-8030, CVE-2026-82837, CVE-2026-85706, CVE-2026-86340, CVE-2026-86341, CVE-2026-87719, CVE-2026-88765
Fuente: BSI, servicio de alertas e información (CERT-Bund); CISA. La valoración de las condiciones es mi lectura del texto del BSI; las páginas externas están en su idioma original.