Kurzfassung

GitLab hat mit CVE-2026-87719 eine kritische Schwachstelle in GitLab EE behoben. Betroffen sind alle Versionen ab 18.3 vor 19.1.8, 19.2 vor 19.2.6 und 19.3 vor 19.3.2. Unter bestimmten Bedingungen kann ein authentisierter Benutzer mit Zugriff auf Duo Chat sensible Konfigurationsdaten und Zugangsdaten aus der Advanced-Search-Instanz auslesen.

Was ist passiert?

Die Lücke steckt in GitLab Enterprise Edition und betrifft die Verarbeitung einer speziell präparierten GraphQL-Subscription. GitLab zufolge kann damit eine Schutzlogik umgangen werden, sodass serverseitige Objekte nachgeschlagen und Informationen preisgegeben werden, die für normale Benutzer nicht zugänglich sein sollten.

Brisant ist die Kombination aus niedriger Angriffskomplexität, fehlender Nutzerinteraktion und sehr hohem Schadenspotenzial. Der CVSS-Wert liegt bei 9.9 nach CVSS 3.1. Für eine Ausnutzung sind allerdings gültige Anmeldedaten und Zugriff auf Duo Chat erforderlich. Es handelt sich also nicht um einen anonym von außen ausnutzbaren Fehler.

Technische Details

Erfasst ist die Schwachstelle als CVE-2026-87719. Der CVSS-3.1-Vektor lautet: AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H. Das bedeutet: Angriff über das Netzwerk, geringe Komplexität, niedrige erforderliche Berechtigungen, keine Nutzerinteraktion und hohe Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.

Nach den veröffentlichten Angaben hängt die Ausnutzung an einem speziell gestalteten Argument innerhalb einer GraphQL-Subscription. Dadurch lässt sich die Serialisierung umgehen. In der Folge wird ein Server-Object-Lookup möglich, über den Konfigurationsdaten der Advanced Search sowie sensible Zugangsdaten offengelegt werden können.

Welche konkreten Geheimnisse im Einzelfall betroffen sind, wird nicht weiter aufgeschlüsselt. Ebenso gibt es keine öffentlich benannten Hinweise auf aktive Angriffe. Das reduziert die Dringlichkeit nicht: Wenn Zugangsdaten für Such-Backends oder angebundene Dienste offengelegt werden, kann sich daraus schnell ein Folgerisiko für weitere Systeme ergeben.

Wer ist betroffen?

Betroffen ist GitLab EE in folgenden Versionsständen:

  • ab 18.3 bis einschließlich 19.1.7
  • 19.2.x bis einschließlich 19.2.5
  • 19.3.x bis einschließlich 19.3.1

Nicht genannt sind GitLab Community Edition oder ältere Zweige vor 18.3. Ob diese nicht betroffen sind oder nur nicht im Geltungsbereich der Korrektur lagen, hat GitLab in den verfügbaren Angaben nicht näher erläutert. Relevant ist die Schwachstelle vor allem für Unternehmen mit GitLab-EE-Instanzen, in denen Duo Chat genutzt wird und Advanced Search aktiv oder angebunden ist.

Für viele Umgebungen im DACH-Raum ist das ein Thema für Plattform-, DevOps- und Security-Teams, nicht für klassische Endanwender. Wer GitLab EE ohne Duo Chat betreibt, sollte die eigene Konfiguration trotzdem prüfen, denn die veröffentlichten Angaben knüpfen die Ausnutzung ausdrücklich an Duo-Chat-Zugriff.

Empfohlene Maßnahmen

  1. Sofort Versionsstand prüfen: Inventarisieren Sie alle GitLab-EE-Instanzen und gleichen Sie sie gegen die betroffenen Bereiche ab.
  2. Vorrangig aktualisieren: Wechseln Sie auf 19.1.8, 19.2.6 oder 19.3.2 beziehungsweise neuer. In produktiven Umgebungen mit aktivem Duo Chat sollte das mit hoher Priorität erfolgen.
  3. Duo-Chat-Zugriffe kontrollieren: Prüfen Sie, welche Benutzer tatsächlich Zugriff auf Duo Chat haben. Reduzieren Sie Berechtigungen bis zum Update auf das notwendige Minimum.
  4. Advanced-Search-Anbindung prüfen: Kontrollieren Sie Konfigurationen und gespeicherte Zugangsdaten der Such-Instanz. Wenn sich nicht sicher ausschließen lässt, dass Daten abgeflossen sind, rotieren Sie betroffene Geheimnisse.
  5. Protokolle auswerten: Untersuchen Sie GraphQL-bezogene Zugriffe, insbesondere ungewöhnliche Subscription-Aufrufe durch reguläre Benutzerkonten. Achten Sie auf Anfragen kurz vor dem Update-Fenster und auf Konten mit Duo-Chat-Berechtigung.
  6. Nachgelagerte Systeme absichern: Falls Zugangsdaten für Such-Backends oder verbundene Dienste in GitLab hinterlegt waren, prüfen Sie dort ebenfalls Authentifizierungsprotokolle und erzwingen Sie bei Bedarf einen Credential-Wechsel.

Ein Hersteller-Advisory mit Patch-Hinweisen wurde in den verfügbaren Angaben nicht genannt.

Einschätzung von CyberSecurity-News.de

Der CVSS-Wert von 9.9 klingt nach maximaler Eskalation, und technisch ist die Lücke ohne Frage ernst. In der Praxis ist die Reichweite aber klar eingegrenzt: Es braucht einen authentisierten Benutzer und Zugriff auf Duo Chat. Für öffentlich erreichbare GitLab-EE-Instanzen mit vielen internen Nutzern oder breit vergebenen Rechten ist das trotzdem hoch relevant, weil sich so aus einem normalen Konto heraus sehr sensible Backend-Informationen gewinnen lassen.

Die Informationslage ist solide bei Schweregrad, betroffenen Versionen und Grundmechanismus der Lücke, aber dünn bei der operativen Bewertung. GitLab nennt in den verfügbaren Angaben keine Details dazu, wie leicht sich eine Ausnutzung in Logs erkennen lässt oder welche Arten von Geheimnissen typischerweise offengelegt werden. Für Admins heißt das: nicht nur patchen, sondern auch Berechtigungen und Geheimnisse mitdenken.

Gegenüber pauschalen Schlagzeilen ist eine nüchterne Einordnung wichtig. Für Unternehmen ohne GitLab EE oder ohne Duo Chat ist das kaum relevant. Für GitLab-EE-Betreiber mit KI-Funktionen und Such-Integration gehört die Lücke dagegen sehr weit nach oben auf die Patch-Liste.

Fazit

Wer GitLab EE in den betroffenen Versionsständen einsetzt, sollte zügig auf die behobenen Versionen wechseln und Duo-Chat-Berechtigungen sofort prüfen. Wenn Advanced Search angebunden ist, empfiehlt sich zusätzlich eine Rotation potenziell offengelegter Zugangsdaten und eine gezielte Log-Analyse auf verdächtige GraphQL-Subscriptions.

Quellenangabe

Weiterführende technische Details bietet der NVD-Eintrag zu CVE-2026-87719.