Wer GitLabs KI-Funktionen selbst hostet, bekommt gerade eine unangenehme Hausaufgabe: In der Brücke zwischen GitLab und den angebundenen KI-Modellen klafft eine Lücke, die fast die volle Punktzahl der Bedrohungsskala erreicht. Am 2. Oktober 2026 veröffentlichte GitLab den Fix zu CVE-2026-90970, CVSS-Wert 9,9 von 10.
WAS GENAU KAPUTT WAR
Das AI Gateway verbindet GitLab-Instanzen mit KI-Modellen und führt dabei sogenannte Flows aus — vorgefertigte Automatisierungen der Duo Agent Platform. Diese Flows laufen über Prompt-Vorlagen, die eigentlich in einer Sandbox gekapselt sind, damit kein fremder Code auf dem eigentlichen System landet.
Genau diese Abschottung ließ sich aushebeln. Ein angemeldeter Nutzer mit Zugriff auf die Duo Agent Platform konnte über eine präparierte Flow-Konfiguration aus der Prompt-Sandbox ausbrechen und beliebige Befehle direkt auf dem Gateway-Server ausführen. Entdeckt und gemeldet hat die Lücke ein Sicherheitsforscher über die Plattform HackerOne unter dem Pseudonym „invisiblemeerkat“.
GEFÄHRLICH, WEIL DAS GATEWAY MEHR KANN ALS ES SOLLTE
Ein kompromittiertes AI Gateway ist kein x-beliebiger Server. Self-hosted Gateways verwalten eigene JWT-Signaturschlüssel und halten aktive Verbindungen zu den angebundenen KI-Modell-Anbietern. Wer hier Befehle ausführen kann, sitzt damit potenziell an einem zentralen Knotenpunkt zwischen Entwicklerumgebung und KI-Infrastruktur — ein Ziel, das sich lohnt.
Es ist zudem nicht die erste Lücke dieser Art: Bereits im Februar 2026 patchte GitLab mit CVE-2026-1868 eine ähnlich gelagerte Schwäche in der Template-Engine des Gateways, ebenfalls mit CVSS 9,9. Zweimal dieselbe Fehlerklasse (CWE-1336, unsichere Template-Verarbeitung) ist ein Muster, kein Zufall.
WER BETROFFEN IST — UND WER NICHT
Verwundbar sind AI-Gateway-Installationen in folgenden Versionsbereichen:
- 18.1.6 bis vor 19.2.4 — gefixt in 19.2.4
- 19.3.0 bis vor 19.3.2 — gefixt in 19.3.2
- 19.4.0 — gefixt in 19.4.1
Wer GitLab.com, GitLab Dedicated oder ein von GitLab selbst betriebenes Gateway nutzt, muss nichts tun — diese Instanzen hat GitLab bereits gepatcht. Betroffen sind ausschließlich selbst gehostete AI Gateways, bei denen Admins das Update manuell einspielen müssen. Einen Workaround für Systeme, die nicht sofort aktualisiert werden können, gibt es nicht.
WIE ES UM AKTIVE ANGRIFFE STEHT
Die US-Behörde CISA hat am 2. Oktober eine Einschätzung zur Lücke ergänzt: Der Ausnutzungsstatus steht dort auf „none“ — also keine beobachtete aktive Ausnutzung. Ein öffentlicher Machbarkeitsnachweis könnte dennoch existieren, bestätigte Angriffswellen gibt es nach aktuellem Stand nicht. Das ist eine gute Nachricht, aber kein Grund zum Warten: Bei CVSS 9,9 kippt die Lage erfahrungsgemäß schnell, sobald Details öffentlich kursieren.
SO PATCHST DU IN 10 MINUTEN
- Version prüfen: Welche Gateway-Version läuft bei dir — über Docker-Image-Tag oder Helm-Chart-Version nachsehen.
- Aktualisieren: Auf 19.2.4, 19.3.2 oder 19.4.1 anheben, je nachdem, welchen Zweig du fährst.
- Zugriff einschränken: Prüfe, wer überhaupt Zugang zur Duo Agent Platform hat — weniger Berechtigte heißt weniger Angriffsfläche.
- Protokolle sichten: Ungewöhnliche Flow-Ausführungen oder unerwartete Prozesse auf dem Gateway-Host sind ein Alarmsignal für die Zeit vor dem Patch.
FAZIT: KI-Infrastruktur braucht denselben Patch-Rhythmus wie alles andere
Der Fall zeigt ein Muster, das sich 2026 durch die ganze Branche zieht: Je mehr KI-Werkzeuge direkten Zugriff auf Code, Daten und Systeme bekommen, desto attraktiver werden genau diese Brücken als Angriffsziel. Wer ein self-hosted AI Gateway betreibt, sollte es wie jeden anderen internetnahen Dienst behandeln — mit Update-Plan, nicht mit Vertrauensvorschuss, nur weil „KI“ draufsteht.