GitLab hat eine kritische Sicherheitslücke in der Git-Verarbeitung seiner selbst betriebenen Installationen geschlossen. Die am 10. November 2026 veröffentlichten Sicherheitsversionen 19.5.4, 19.4.6 und 19.3.8 beheben CVE-2026-105437: Unter bestimmten Bedingungen kann ein fehlerhafter Git-Merge zu Speicherbeschädigungen und möglicherweise zur Ausführung von Befehlen im Dienst Gitaly führen. Für die Zweige 19.5 und 19.4 folgten bereits am 12. November die aktuelleren Fehlerkorrekturversionen 19.5.5 und 19.4.7. Betreiber eigener GitLab-Server sollten den installierten Zweig und die Art der Installation zeitnah prüfen.
GitLab.com und GitLab Dedicated sind nach Angaben des Herstellers bereits abgesichert. Der unmittelbare Updatebedarf betrifft deshalb vor allem GitLab Self-Managed – sowohl Community Edition als auch Enterprise Edition. Bei selbst aus Quellcode gebauten Installationen reicht die Aktualisierung der Webanwendung allein nicht zwingend aus.
CVE-2026-105437 betrifft Git-Merge und Gitaly
Ausgangspunkt ist ein Heap-Pufferüberlauf im Programm Git, der bei bestimmten dreiseitigen Zusammenführungen von Änderungen ausgelöst werden kann. Die Schwachstelle betrifft damit nicht nur klassische Git-Clients, sondern auch GitLab-Server: Dort übernimmt Gitaly den Zugriff auf die Repository-Daten und führt dafür unter anderem Git-Operationen aus. GitLab stuft die Lücke in diesem Einsatzkontext als kritisch ein.
Ein speziell vorbereiteter Merge kann unter den beschriebenen Voraussetzungen außerhalb eines vorgesehenen Speicherbereichs schreiben. Nach Einschätzung von GitLab könnte das zur Ausführung beliebiger Befehle innerhalb der Gitaly-Umgebung führen. Daraus folgt nicht, dass jede Merge-Anfrage automatisch einen erfolgreichen Angriff ermöglicht. Relevant sind insbesondere Umgebungen, in denen der Server Zusammenführungen auf Basis nicht vertrauenswürdiger Repository-Inhalte verarbeitet.
GitLab stellt für selbst betriebene Systeme außerdem eine Erkennungsmöglichkeit für Abstürze von Git-merge-tree-Kindprozessen bereit. Solche Befunde können Anlass für eine Untersuchung sein; ein Absturz allein ist kein Nachweis einer erfolgreichen Kompromittierung.
Welche GitLab-Versionen aktualisiert werden müssen
Die Sicherheitsmeldung nennt GitLab CE/EE ab Version 16.2 sowie die späteren 19er-Zweige bis zu den jeweiligen korrigierten Patchständen. Die folgende Übersicht unterscheidet bewusst die Versionen, die den Sicherheitsfehler erstmals beheben, von den anschließend veröffentlichten Wartungsupdates:
| Versionszweig | Sicherheitskorrektur vom 10. November | Neuester bestätigter Patchstand vom 12. November |
|---|---|---|
| GitLab 19.5 | 19.5.4 | 19.5.5 |
| GitLab 19.4 | 19.4.6 | 19.4.7 |
| GitLab 19.3 | 19.3.8 | 19.3.8 |
Wer einen älteren GitLab-Zweig betreibt, sollte nicht einfach eine der genannten Patchnummern übernehmen, sondern den vom Hersteller vorgesehenen Upgradepfad für die eigene Version prüfen. Die GitLab-Version kann in der Administrationsoberfläche beziehungsweise über die jeweilige Installationsverwaltung kontrolliert werden. Entscheidend ist außerdem, dass auf allen betroffenen Knoten tatsächlich korrigierte Programmteile laufen.
Warum 19.5.5 und 19.4.7 schon wieder erschienen sind
Die beiden am 12. November nachgereichten Versionen 19.5.5 und 19.4.7 beheben nach GitLab-Angaben mehrere Regressionen und Programmfehler; neue Sicherheitskorrekturen enthalten diese beiden Releases nicht. Wer den 19.5er- oder 19.4er-Zweig aktualisiert, sollte deshalb den inzwischen aktuelleren Stand berücksichtigen, statt ausschließlich die beiden ursprünglichen Sicherheitsversionen einzuplanen.
Wichtig für den Betrieb: Anders als bei den Sicherheits-Patches vom 10. November enthalten die Releases vom 12. November Datenbankmigrationen. GitLab weist für Einzelserver-Installationen auf eine Unterbrechung während des Upgrades hin; in entsprechend vorbereiteten Mehrknoten-Installationen ist ein Update ohne Ausfall möglich. Für 19.4.7 kommen zusätzlich Post-Deploy-Migrationen hinzu. Die Freigabe von GitLab Orbit in den Zweigen 19.4 und 19.5 ist eine separate Funktionserweiterung und standardmäßig deaktiviert.
Besondere Prüfung für selbst kompilierte Installationen
Bei offiziellen GitLab-Linuxpaketen und Container-Images ist das korrigierte Git laut Hersteller bereits enthalten. Für selbst kompilierte Installationen warnt GitLab dagegen ausdrücklich vor einem unvollständigen Update: Hier muss das in Gitaly integrierte Git entsprechend der GitLab-Updateanleitung neu gebaut werden.
Zusätzlich ist die über git.bin_path in config/gitlab.yml referenzierte Git-Installation zu aktualisieren. Falls sie aus den Paketen der Linux-Distribution stammt, ist eine gegen CVE-2026-105437 gepatchte Distributionsausgabe oder Git 2.56.1 beziehungsweise neuer erforderlich. Ein einfacher Versionscheck des Git-Clients auf dem Administrator-PC sagt nichts über den tatsächlichen Sicherheitsstand der vom GitLab-Server verwendeten Binärdateien aus.
Für Cluster und getrennte Repository-Server gilt dieselbe Trennung: Der aktualisierte GitLab-Anwendungsserver belegt allein noch nicht, dass auch sämtliche Gitaly-Knoten mit den korrigierten Git-Komponenten arbeiten.
Updateplanung für selbst betriebene GitLab-Server
Betreiber sollten den aktuellen Patchstand aller GitLab- und Gitaly-Instanzen erfassen, die offiziellen Upgradevoraussetzungen einschließlich eventueller Zwischenversionen kontrollieren und eine belastbare Sicherung vorhalten. Bei Einzelservern muss für 19.5.5 beziehungsweise 19.4.7 ein Wartungsfenster eingeplant werden. Danach sind Repository-Zugriffe, Merge Requests, CI/CD-Pipelines und die Gitaly-Dienste auf ordnungsgemäße Funktion zu prüfen.
Bei aus Quellcode installierten Instanzen sollte die Prüfung auch den tatsächlich verwendeten Git-Binärpfad und das aktualisierte Gitaly-Build umfassen. Wer GitLab.com oder GitLab Dedicated nutzt, muss für diese konkrete Sicherheitslücke nach Herstellerangaben kein eigenes Server-Update einspielen.
Sicherheitsinformationen und Update
Die offizielle Sicherheitsmeldung zu GitLab 19.5.4, 19.4.6 und 19.3.8 dokumentiert CVE-2026-105437, den Schweregrad und die Hinweise für selbst kompilierte Installationen. Die Versionshinweise zu 19.5.5 und 19.4.7 erläutern die späteren Fehlerkorrekturen und die Datenbankmigrationen.
Offizielle Update-Anleitung: GitLab aktualisieren – Voraussetzungen und Installationswege. Für Quellinstallationen bietet GitLab zusätzlich die Anleitung zum Upgrade selbst kompilierter Instanzen an.
Meroth IT-Service ist Ihr lokaler IT-Dienstleister in Frankfurt am Main für kleine Unternehmen, Selbstständige und Privatkunden
Kostenfreie Ersteinschätzung Ihres Anliegens?
Werbung
(**) UVP: Unverbindliche Preisempfehlung
Preise inkl. MwSt., zzgl. Versandkosten