# Über 1.000 GitLab Server durch kritische CI/CD-Sicherheitslücke weltweit bedroht Source: TechNewsList (https://technewslist.com) Canonical URL: https://technewslist.com/de/article/gitlab-servers-exploited-critical-ci-cd-regex-rce-vulnerabil-2026-11-03-night-de Section: Software (https://technewslist.com/de/software) Author: TechNewsList Language: de Published: 2026-11-03T19:03:28.443+00:00 Updated: 2026-11-03T19:03:28.445848+00:00 > Über 1.000 erreichbare GitLab Instanzen werden Ziel aktiver Angriffe auf eine Lücke in der Regex-Engine, was dringende CISA Richtlinien auslöste. ## TL;DR - Mehr als 1.000 internetfähige GitLab Server sind ungepatcht und anfällig für Angriffe zur Remote-Code-Ausführung. - Die Schwachstelle CVE-2026-97229 beruht auf einem Integer-Überlauf im Parser für reguläre Ausdrücke in CI/CD. - Die US-Behörde CISA nahm die Lücke in ihren Katalog bekannter Schwachstellen auf und ordnete Notfall-Patches an. - Das Open-Source-Projekt Alpine Linux musste seine Serverinfrastruktur nach Angriffsversuchen komplett neu aufsetzen. ## Key points - Die Schwachstelle erreicht die maximale CVSS-Schweregradbewertung von 10.0 und erlaubt nicht authentifizierten Root-Zugriff. - Angreifer können kompromittierte GitLab Server nutzen, um Quellcode einzusehen und Entwicklerzugangsdaten zu stehlen. - Infiltrierte Build-Runner können für Angriffe auf die Software-Lieferkette durch das Einschleusen von Schadcode missbraucht werden. - Sicherheitsscans identifizierten gefährdete GitLab Serverinstallationen in Europa, Nordamerika und Asien. - GitLab hat Sicherheitsupdates für alle unterstützten Versionen veröffentlicht und rät zur unverzüglichen Installation. ## Was passiert ist In einer dringenden Warnung für die Softwareentwicklungsbranche haben Sicherheitsforscher und die US-Cybersicherheitsbehörde CISA bestätigt, dass mehr als 1.000 über das Internet erreichbare GitLab Instanzen Ziel aktiver Angriffe sind. Angreifer scannen das Internet systematisch nach ungepatchten Servern ab, um eine Schwachstelle zur Remote Code Execution (RCE) mit der Kennung CVE-2026-97229 auszunutzen, die nicht authentifizierten Angreifern Root-Rechte verschafft. Die Sicherheitslücke mit dem maximalen CVSS-Score von 10.0 resultiert aus einem Integer-Überlauf im Compiler für reguläre Ausdrücke der CI/CD-Pipelines von GitLab. Durch das Übermitteln präparierter Daten über öffentliche Web-Endpunkte können Angreifer Speicherfehler im Parser auslösen, Authentifizierungsbarrieren umgehen und die vollständige Kontrolle über den Server erlangen, ohne gültige Zugangsdaten zu besitzen. Aufgrund der massiven Ausnutzung fügte CISA die Schwachstelle CVE-2026-97229 sofort ihrem KEV-Katalog hinzu und verpflichtete US-Behörden zu kurzfristigen Updates. Die reale Gefahr zeigte sich, als das Team der Linux-Distribution Alpine Linux bekannt gab, seine GitLab Kernserver nach festgestellten Angriffsversuchen aus sicheren Backups komplett neu aufbauen zu müssen. ## Warum es wichtig ist Quellcode-Repositories und CI/CD-Pipelines sind zentrale Bestandteile moderner Softwarearchitekturen. Eine Plattform wie GitLab speichert nicht nur geistiges Eigentum, sondern steuert Build-Prozesse, verwaltet Zugangsdaten für Cloud-Infrastrukturen und schützt Zertifikate zur Codesignierung. Gelingt einem Angreifer die Codeausführung auf einem GitLab Server, drohen weitreichende Schäden für das gesamte Unternehmen. Die Kompromittierung von GitLab Servern ermöglicht Angriffe auf die Software-Lieferkette. Angreifer können Quellcode manipulieren, Backdoors in Container-Images einschleusen und Software-Updates vergiften, die an Tausende Kunden verteilt werden. Frühere Vorfälle wie bei SolarWinds und Codecov haben verdeutlicht, wie Spionage über Entwicklerwerkzeuge betrieben werden kann. Zudem offenbart die hohe Zahl ungesicherter Server Nachlässigkeiten im Schwachstellenmanagement. Trotz der Veröffentlichung von Notfall-Patches durch GitLab versäumen es zahlreiche Organisationen, öffentlich erreichbare Systeme zeitnah abzusichern. ## Technische Details Ursache von CVE-2026-97229 ist ein arithmetischer Überlauf im Parser, der benutzerdefinierte reguläre Ausdrücke in GitLab CI/CD-Pipelinedateien (`.gitlab-ci.yml`) verarbeitet. Enthält ein Ausdruck komplex verschachtelte Quantifizierer, berechnet der Parser die erforderliche Puffergröße im Arbeitsspeicher fehlerhaft. ![Server-Racks in einem Rechenzentrum mit selbst gehosteten Entwicklerwerkzeugen](https://www.bleepstatic.com/content/hl-images/2026/11/02/thumb/211x130_freezers.jpg) In der Folge reserviert die Routine einen zu kleinen Speicherbereich, in den größere Strings kopiert werden. Der resultierende Heap-Pufferüberlauf überschreibt benachbarte Speicherzeiger im Prozess. Angreifer leiten den Kontrollfluss auf Shellcodes um, die verschlüsselte Reverse-Shells zu Command-and-Control-Servern aufbauen. Nach erfolgreichem Shell-Zugriff führen automatisierte Skripte Entdeckungsroutinen aus, um Datenbankpasswörter, API-Tokens und private SSH-Schlüssel aus den CI/CD-Umgebungsvariablen abzugreifen und dauerhafte Hintertüren im System einzurichten. ![Cloud-Container-Dashboard zur Anzeige aktiver Microservices und Telemetriedaten](https://www.bleepstatic.com/content/hl-images/2026/10/31/northflank-header.jpg) ## Auswirkungen auf Markt und Branche Die Vorfälle verdeutlichen die Risiken des Eigenbetriebs von Entwicklerwerkzeugen. In den letzten Jahren mussten DevSecOps-Teams wiederholt kritische Lücken in Plattformen wie GitLab, Atlassian Confluence oder JetBrains TeamCity beheben. Diese Bedrohungslage beschleunigt den Wechsel zu gemanagten SaaS-Lösungen, bei denen Anbieter Sicherheitsupdates automatisch einspielen. In der IT-Sicherheitsbranche löst der Vorfall zahlreiche Prüf- und Incident-Response-Einsätze aus. Security Operations Center (SOC) werten Netzwerkdaten nach Spuren von CVE-2026-97229 aus. Berichten zufolge konkurrieren Botnetze und Spionagegruppen um die Kontrolle ungesicherter Systeme. Auch Open-Source-Projekte verschärfen ihre Schutzmaßnahmen. Der Vorfall bei Alpine Linux zeigt, dass gemeinnützige Projekte mit begrenzten Ressourcen lohnende Ziele für Angriffe auf Softwarepakete darstellen. Stiftungen prüfen daher Modelle zur Bereitstellung gehärteter Build-Infrastrukturen. ## Worauf man als Nächstes achten sollte DevSecOps-Teams müssen die Patch-Stände aller extern erreichbaren GitLab Server umgehend kontrollieren. GitLab stellt Sicherheitsupdates in den Versionen 17.5.1, 17.4.3 und 17.3.5 bereit. Ist ein Update nicht sofort umsetzbar, sollten Web-Interfaces hinter VPNs oder IP-Zulassungslisten geschützt und öffentliche Registrierungen deaktiviert werden. Sicherheitsexperten werden untersuchen, ob es zu Manipulationen an Software-Releases gekommen ist, die auf betroffenen Servern kompiliert wurden. Schließlich beobachten Auditoren die Einhaltung behördlicher Vorgaben. Die Fristen von CISA könnten auch in der Privatwirtschaft als Vorbild für strengere Haftungsregeln bei verzögerten Sicherheitsupdates dienen. ## Quellen - [BleepingComputer Security](https://www.bleepingcomputer.com/news/security/over-1-000-gitlab-servers-vulnerable-to-code-execution-attacks/) - [GitLab Software Architecture Profile](https://en.wikipedia.org/wiki/GitLab) - [Arbitrary Code Execution Concepts](https://en.wikipedia.org/wiki/Arbitrary_code_execution) Mentions: GitLab, CISA, Alpine Linux, CVE-2026-97229, Remote Code Execution, DevSecOps ## Sources - [BleepingComputer Security](https://www.bleepingcomputer.com/news/security/over-1-000-gitlab-servers-vulnerable-to-code-execution-attacks/) - [GitLab Software Architecture Profile](https://en.wikipedia.org/wiki/GitLab) - [Arbitrary Code Execution Concepts](https://en.wikipedia.org/wiki/Arbitrary_code_execution)