GitLabs nødpatch lukker et zero-click GraphQL-hul
CVE-2026-19478 er en kritisk GraphQL-directive-injektionsfejl i GitLab Community Edition og Enterprise Edition med en CVSS-score på 9.4, som gjorde det muligt for en uautoriseret angriber, hvor som helst på internettet, at nå tilstandsændrende metoder gennem det, der lignede en almindelig læse-forespørgsel.
Fejlen ligger i den måde, GitLab håndterer direktivet @gl_introduced(version: ...): at markere et felt med det direktiv gør det til et metodekald mod det objekt, der står på den position i grafen, så en enkelt forberedt GraphQL-forespørgsel kunne ændre eller slette offentlige projekter, brugerdata og merge-poster uden konto, rettigheder eller brugerinteraktion.
GitLab udsendte den 17. august 2026 de rettede versioner 19.2.4, 19.1.6, 19.0.8 og 18.11.11 som en nødudgivelse uden for den sædvanlige to-ugentlige patch-cyklus, hvilket understreger, hvor meget alvoren tvang et hurtigere svar frem.
GitLab.com var rettet, før det offentlige advisory overhovedet fandtes
GitLab.com og GitLab Dedicated, virksomhedens hostede tilbud, kørte allerede på rettede versioner, før sikkerhedsadvisoret for CVE-2026-19478 overhovedet blev offentliggjort, så kunder på de platforme ikke havde noget eksponeringsvindue.
Selvhostede installationer var en anden historie: watchTowr, sikkerhedsforskningsfirmaet ledet af principal researcher Jake Knott, kørte afsløringen gennem sit honeypot-netværk og genskabte en fungerende exploit inden for få minutter efter offentliggørelsen af adviseringen, og bekræftede separat, at der allerede var aktive angrebsforsøg mod ikke-patchede instanser i naturen.
Fejlen blev først rapporteret til GitLab via HackerOne af en forsker, der bruger aliasset hiimguardian, og kom sammen med en anden, beslægtet sårbarhed: CVE-2026-19650, et CSRF-problem i håndteringen af GraphQL-multiplex-forespørgsler med en CVSS-score på 7.1, rettet i samme udgivelsesbølge.
| Detalje | CVE-2026-19478 | CVE-2026-19650 |
|---|---|---|
| CVSS-score | 9.4 (Kritisk) | 7.1 |
| Type af sårbarhed | GraphQL-directive-injektion | CSRF i håndtering af GraphQL-multiplex-forespørgsler |
| Kræver autentificering | Nej | Kræver at narre en autentificeret session |
| Konsekvens | Ændring eller sletning af offentlige projekter, brugerdata og merge-poster | Cross-site request forgery via multiplex-forespørgsler |
Suverænitetsvalget, der skabte eksponeringsvinduet
Mange europæiske organisationer vælger self-managed GitLab netop fordi det holder kode, adgangsoplysninger og merge-historik inden for egen infrastruktur og dermed opfylder krav til datasuverænitet og compliance, som en delt SaaS-platform ikke kan garantere alene.
CVE-2026-19478 viser den anden side af det valg: GitLabs egne SaaS-kunder var automatisk beskyttet og rettet, før det offentlige advisory overhovedet fandtes, mens de selvhostede installationer, som suverænitetsbevidste organisationer foretrækker, krævede et menneske til at bemærke adviseringen, anvende rettelsen og bekræfte den, alt sammen inden for et uautoriseret, interaktionsløst og aktivt udnyttet kritisk vindue.
Det er ikke et argument mod self-managed GitLab, men en påmindelse om, at suverænitet og patch-forsinkelse er to forskellige risici, der vejer op mod hinanden, og at en organisation, der vælger selvhosting for at kontrollere sine data, også har valgt sig selv som sidste forsvarslinje på patch-dagen.
En tredje GraphQL-fejl i 2026 gør et patch til et mønster
CVE-2026-19478 er, ifølge analyser fra fagpressen, blandt andet TechTimes, den tredje selvstændige sårbarhed af GraphQL-directive-typen, som GitLab afslører i 2026, hvilket betyder, at den underliggende svaghed ikke er en enkeltstående kodefejl, men et tilbagevendende mønster i den måde, GitLabs GraphQL-lag løser direktiver på.
Uafhængig dækning fra Dark Reading, eSecurityPlanet, SOCPrime, Ox Security og CyCognito bekræfter det samme tekniske billede, og sammen med GitLabs nødudgivelse taler mønsteret for at behandle dette som en risikoklasse frem for en enkelt lukket sag.
For en administrator af self-managed GitLab er det praktiske svar at tilføje løbende GraphQL-skema- og introspektionsscanning til deployment-pipelinen i stedet for at vente på det næste advisory, for direktivbaseret injektion er nu sket tre gange på et år og vil sandsynligvis ske igen.
Læs videre: Seks dage, tre kritiske huller, ingen frist | Denne ColdFusion-fejl blev angrebet på minutter
