Am 21. Oktober 2026 veröffentlichte GitLab die Versionen 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 und 18.11.13 für GitLab Community Edition (CE) und Enterprise Edition (EE). Diese Versionen enthalten wichtige Fehlerbehebungen und Sicherheitskorrekturen, und GitLab empfiehlt dringend, dass alle selbstverwalteten GitLab-Installationen umgehend auf eine dieser Versionen aktualisiert werden. GitLab.com läuft bereits mit der gepatchten Version. GitLab-Dedicated-Mandanten mit 19.3.5-internal0 sowie 19.4.2-internal0 oder neuer enthalten diese Korrekturen bereits und müssen nichts unternehmen.
GitLab veröffentlicht Korrekturen für Schwachstellen in Patch-Releases in zwei Arten: planmäßige Releases, die zweimal im Monat am zweiten und vierten Mittwoch erscheinen, und Ad-hoc-Notfall-Patches für Schwachstellen mit hohem Schweregrad. Sicherheitsprobleme werden 90 Tage nach dem Release, in dem sie gepatcht wurden, im Issue-Tracker öffentlich gemacht. GitLab erklärt, dass es sich zu höchsten Sicherheitsstandards für alle Aspekte der Plattform verpflichtet, die Kunden ausgesetzt sind oder Kundendaten hosten.
Die gravierendste Korrektur betrifft CVE-2026-110264, einen Integer-Überlauf im Compiler für reguläre Ausdrücke. Unter bestimmten Bedingungen hätte dieser einem nicht authentifizierten Benutzer erlauben können, beliebigen Code auf dem GitLab-Server auszuführen. Die Schwachstelle hat einen CVSS-Score von 10.0 und wurde über das Bug-Bounty-Programm von HackerOne gemeldet. Die Korrektur wurde auf die Versionen 18.11.13, 19.0.10, 19.1.9 und 19.2.9 zurückportiert.
Eine weitere Korrektur, CVE-2026-15723, behebt ein Problem mit unzureichender Authentifizierung. Wenn OmniAuth SAML und die automatische LDAP-Verknüpfung beide aktiviert waren, konnte ein authentifizierter Benutzer ein bestehendes LDAP-basiertes Konto übernehmen, ohne dass das Ziel etwas tun musste, mit einem CVSS-Score von 8.2. Betroffen sind die Versionen 10.1 bis 19.5 vor den gepatchten Releases. GitLab hat außerdem zwei Bedrohungserkennungen für selbstverwaltete Instanzen veröffentlicht, um Ausnutzungsversuche zu erkennen. Die von GitLab verwaltete Infrastruktur, einschließlich GitLab.com und GitLab Dedicated, bleibt gepatcht.
Quelle: Hacker News · Zusammengefasst von HeadlinesBriefing