---
title: "Rapid7 macht aus GitLabs 10.0-Lücke eine Live-Produktdemo – drei Wochen vor den Quartalszahlen"
description: "Ein regulärer Ausdruck (Regex) von 248 Zeichen genügt, um auf ungepatchten, selbst betriebenen GitLab-Servern Befehle auszuführen. Rapid7 hat den Exploit einen Tag nach GitLabs Patch vom 12. Oktober reproduziert und den zugehörigen Erkennungscheck noch am selben Tag an zahlende Kunden ausgeliefert – vermutlich der erste öffentliche Einsatz der Intelligence-Einheit, die das Unternehmen am 2. Oktober gestartet hat."
publisher: "The Inference"
section: "Safety"
published: 2026-10-16T01:38:40.867Z
modified: 2026-10-16T01:38:40.867Z
canonical: https://theinference.org/article/rapid7-turns-gitlab-s-10-0-flaw-into-a-live-product-demo-three-weeks-before-earnings/de
language: de
keywords: "Cybersecurity, Vulnerabilities, GitLab, Rapid7, Earnings"
---

# Rapid7 macht aus GitLabs 10.0-Lücke eine Live-Produktdemo – drei Wochen vor den Quartalszahlen

> Ein regulärer Ausdruck (Regex) von 248 Zeichen genügt, um auf ungepatchten, selbst betriebenen GitLab-Servern Befehle auszuführen. Rapid7 hat den Exploit einen Tag nach GitLabs Patch vom 12. Oktober reproduziert und den zugehörigen Erkennungscheck noch am selben Tag an zahlende Kunden ausgeliefert – vermutlich der erste öffentliche Einsatz der Intelligence-Einheit, die das Unternehmen am 2. Oktober gestartet hat.

## Ein Regex, der die Prüfung austrickst

[GitLab](https://theinference.org/markets/companies/gitlab) hat am 12. Oktober [einen Out-of-Band-Patch veröffentlicht](https://www.bleepingcomputer.com/news/security/gitlab-warns-of-max-severity-rce-flaw-in-regex-compiler-engine/) – ein Sicherheitsupdate außerhalb des üblichen monatlichen Zyklus. Es schließt die Schwachstelle CVE-2026-97229, einen Integer-Überlauf, den GitLab mit 10.0 bewertet hat – dem Höchstwert auf der CVSS-Schweregradskala [1][2]. Die Lücke steckt im Compiler für reguläre Ausdrücke in CI/CD-Konfigurationen, also in den Pipelines, mit denen Software gebaut und ausgeliefert wird; betroffen sind die selbst betriebenen Community- und Enterprise-Editionen. Sie war eine von 24 Lücken, die an diesem Tag behoben wurden, und war GitLab über einen Bug-Bounty-Report auf HackerOne gemeldet worden – von einem Sicherheitsforscher, der als joaxcar auftritt [2][3].

Einen Tag später meldete [Rapid7](https://theinference.org/markets/companies/rapid7), das Unternehmen habe [die komplette Angriffskette auf dem offiziellen, ungepatchten Community-Edition-Image 19.4.1 reproduziert](https://www.rapid7.com/blog/post/etr-cve-2026-97229-critical-unauthenticated-remote-code-execution-in-gitlab/) – bei aktivierter Adressraum-Randomisierung (ASLR). Dieselbe Eingabe scheiterte an der gepatchten Version 19.4.2 [1]. Der Einstieg erfolgt in zwei Stufen: Ein präparierter regulärer Ausdruck in einer Pipeline-Datei .gitlab-ci.yml passiert zunächst GitLabs Validierung. Anschließend wird er gegen einen Repository-Pfad mit UTF-8-Zeichen neu kompiliert – wobei ein Integer-Überlauf in Rubys Onigmo-Engine dem Angreifer die Kontrolle über den Prozess übergibt.

## 24 Stunden vom Patch zum funktionierenden Exploit

Betriebssystembefehle laufen anschließend als Nutzer git – das Dienstkonto, unter dem die GitLab-Anwendung läuft [1]. [Ein öffentlicher Proof of Concept](https://x.com/_CryptoCat/status/2110052018593362428) bläht 248 Zeichen zu mehr als 2 GB Engine-Code auf und erreicht die Funktion system() [4]. GitLab stuft die Lücke als ohne jede Authentifizierung ausnutzbar ein; für die Reproduktion brauchte Rapid7 zunächst noch einen Weg, die Konfigurationsdatei einzuschleusen. Diese Hürde entfällt überall dort, wo eine Instanz beliebigen Nutzern erlaubt, sich zu registrieren und öffentliche Projekte anzulegen [1].

## Selbst betriebene Server beherbergen Quellcode und Cloud-Zugangsdaten

Was dahinter steckt, erklärt, warum ein Score von 10.0 Angreifer so schnell anlockt: der Quellcode einer Organisation, ihre Build-Pipelines und [die Zugangsdaten, mit denen diese Pipelines auf Cloud-Konten zugreifen](https://theinference.org/article/two-dozen-firms-breached-through-gitlab-stored-secrets-and-gitlab-shipped-the-cure-a-day-later) – in den Worten von Roman Y. Sannikov, globaler Forschungskoordinator bei iCounter [5]. Mehr als die Hälfte der Fortune 100 zählt zu GitLabs Kunden [3].

Es ist GitLabs zweite Schwachstelle mit maximalem Schweregrad binnen zwei Monaten. Einen Tag, nachdem GitLab die Pfad-Traversal-Lücke CVE-2026-85706 vom September geschlossen hatte, landete sie im Katalog bekannt ausgenutzter Schwachstellen (KEV) der US-Cybersicherheitsbehörde CISA – und Forscher von watchTowr protokollierten bereits Sondierungen [3][6]. „Teams sollten davon ausgehen, dass das Zeitfenster zwischen Offenlegung und Ausnutzung Tage beträgt, nicht Wochen“, sagte Sannikov [5]. Bis zum 13. Oktober gab es keine bestätigte Ausnutzung der neuen Lücke [1].

## Erkennung noch am selben Tag: Die neue Einheit feiert Premiere im Produkt

Aus geschäftlicher Sicht ist das Timing die eigentliche Nachricht. Rapid7 Intelligence, die Einheit, die [am 2. Oktober an den Start ging](https://finance.yahoo.com/technology/ai/articles/rapid7-launches-rapid7-intelligence-harness-130000040.html), um Schwachstellenforschung direkt in bezahlte Produkte zu überführen, hat im selben Content-Release vom 13. Oktober einen authentifizierten Erkennungscheck für diese Lücke in die Produkte Exposure Command, Vulnerability Management und Nexpose aufgenommen [1][7]. Für zahlende Kunden ist das das Startversprechen, eingelöst in funktionierendem Code: Forschung, die binnen eines Tages nach dem Bekanntwerden einer Schwachstelle im Produkt ankommt.

Der an der Nasdaq notierte Mutterkonzern braucht diese Demonstration. Der [Umsatz sank im Juniquartal um 1,5 Prozent gegenüber dem Vorjahr](https://www.sec.gov/cgi-bin/browse-edgar?action=getcompany&CIK=0001560327) – der zweite Rückgang in Folge –, und JPMorgan stufte die Aktie im September auf Underweight ab, bei einem Kursziel von 12 Dollar [8][9]. Die [Zahlen für das dritte Quartal erscheinen am 4. November](https://www.marketscreener.com/news/rapid7-to-report-third-quarter-2026-financial-results-on-november-4-ce785dd2d181f526) [8].

*Chart: **Rapid7s Wachstum ist von 13 Prozent auf zwei Minusquartale in Folge abgerutscht** Liniendiagramm zum Umsatzwachstum von Rapid7 im Jahresvergleich über zwölf Quartale, von 13,1 Prozent im dritten Quartal 2023 bis minus 1,5 Prozent im zweiten Quartal 2026; im Jahr 2026 unterschritt die Kurve die Nulllinie.*

*Umsatzwachstum im Jahresvergleich je Kalenderquartal, laut Rapid7s Einreichungen bei der US-Börsenaufsicht SEC. Das zweite Quartal 2026 endete im Juni 2026. [9]*

## GitLab wächst um 21 Prozent – Rapid7 schrumpft

GitLab (NASDAQ: GTLB) wächst und ist zugleich verwundbar: Im Quartal bis Ende Juli [stieg der Umsatz um 21,3 Prozent auf 286,3 Millionen Dollar](https://www.sec.gov/cgi-bin/browse-edgar?action=getcompany&CIK=0001653482), bei einem Nettoverlust von 36,8 Millionen Dollar [10]. GitLab.com ist bereits gepatcht, und Kunden von Dedicated, GitLabs gehostetem Single-Tenant-Angebot, müssen nichts tun – der direkte Schaden fällt also auf die Server der Kunden, nicht auf die Bücher des Anbieters [1].

*Chart: **GitLabs Umsatz wächst in allen zwölf dargestellten Quartalen um mehr als 20 Prozent** Balkendiagramm zum Quartalsumsatz von GitLab über zwölf Quartale, von 150 Millionen Dollar im Quartal bis Oktober 2023 bis 286 Millionen Dollar im Quartal bis Juli 2026; das Wachstum im Jahresvergleich lag in jedem Quartal über 20 Prozent.*

*Quartalsumsatz in Millionen US-Dollar je Kalenderquartal, laut GitLabs Einreichungen bei der US-Börsenaufsicht SEC. GitLabs Geschäftsquartale enden einen Monat später als die von Rapid7: Das zweite Quartal 2026 endete am 31. Juli 2026 – jenes Quartal, das der Text mit 286,3 Millionen Dollar und einem Plus von 21,3 Prozent ausweist. [11]*

## Jetzt upgraden – dann zwei Termine im Blick behalten

Die Patch-Ziele sind konkret: 19.2.8, 19.3.5 und 19.4.2 – jetzt einspielen, nicht erst beim nächsten monatlichen Zyklus [1]. Muss ein Upgrade warten, rät GitLab, den anonymen Zugriff auf öffentliche Projekte einzuschränken und nicht vertrauenswürdigen Nutzern zu verbieten, solche Projekte anzulegen [1]. Blieb eine Instanz seit der Offenlegung ungepatcht, lautet Sannikovs Rat: CI/CD-Secrets und Token rotieren sowie Runner- und Pipeline-Aktivität seither prüfen [5].

Wie die Sache ausgeht, werden zwei Anzeichen zeigen. Das eine: ob CVE-2026-97229 ihrer September-Schwester in den KEV-Katalog der US-Cybersicherheitsbehörde CISA folgt [3][6]. Das andere ist der 4. November, wenn Rapid7 die Zahlen für das dritte Quartal vorlegt und sagen muss, ob sich die Intelligence-Einheit in den Verkäufen kostenpflichtiger Produkte niederschlägt [8]. Bis dahin liegt das Risiko bei jedem, der eine vergessene, selbst betriebene Instanz am Laufen hält.

## Takeaway

Die GitLab-Regex-Lücke mit CVSS 10.0 ist gestopft, das Risiko tragen aber die ungepatchten, selbst betriebenen Server. Und Rapid7s Erkennung am selben Tag ist der erste Beleg dafür, dass die am 2. Oktober gestartete Einheit funktioniert.

## Sources

1. [Rapid7, CVE-2026-97229: Critical Unauthenticated Remote Code Execution in GitLab, 13 October 2026](https://www.rapid7.com/blog/post/etr-cve-2026-97229-critical-unauthenticated-remote-code-execution-in-gitlab/)
2. [eSecurity Planet, GitLab Warns of CVSS 10.0 Flaw That Could Allow Server Takeover, 13 October 2026](https://www.esecurityplanet.com/news/news-gitlab-critical-server-takeover-flaw/)
3. [BleepingComputer, GitLab warns of max severity code execution vulnerability, 12 October 2026](https://www.bleepingcomputer.com/news/security/gitlab-warns-of-max-severity-rce-flaw-in-regex-compiler-engine/)
4. [@_CryptoCat on X, Rapid7 PoC for CVE-2026-97229, 13 October 2026](https://x.com/_CryptoCat/status/2110052018593362428)
5. [SC Media, GitLab patches 10.0 flaw in its CE and EE products, 14 October 2026](https://www.scworld.com/news/gitlab-patches-10-0-flaw-in-its-ce-and-ee-products)
6. [TechRadar via MSN, CISA warns hackers are exploiting this max severity GitLab flaw, 14 September 2026](https://www.msn.com/en-us/technology/cybersecurity/cisa-warns-hackers-are-exploiting-this-max-severity-gitlab-flaw/ar-AA2ccpv4)
7. [Rapid7 press release via Yahoo Finance, Rapid7 Launches Rapid7 Intelligence to Harness Threat Data Against Attackers, 2 October 2026](https://finance.yahoo.com/technology/ai/articles/rapid7-launches-rapid7-intelligence-harness-130000040.html)
8. [GlobeNewswire via MarketScreener, Rapid7 to Report Third Quarter 2026 Financial Results on November 4, 14 October 2026 (page also carries the 15 September JPMorgan underweight call, $12 target)](https://www.marketscreener.com/news/rapid7-to-report-third-quarter-2026-financial-results-on-november-4-ce785dd2d181f526)
9. [Rapid7, quarterly figures from its SEC filings, retrieved 15 October 2026](https://www.sec.gov/cgi-bin/browse-edgar?action=getcompany&CIK=0001560327)
10. [GitLab, quarterly figures from its SEC filings, retrieved 15 October 2026](https://www.sec.gov/cgi-bin/browse-edgar?action=getcompany&CIK=0001653482)
11. [GitLab, quarterly figures from its SEC filings, retrieved 16 October 2026](https://www.sec.gov/cgi-bin/browse-edgar?action=getcompany&CIK=0001653482)


---

Rapid7 macht aus GitLabs 10.0-Lücke eine Live-Produktdemo – drei Wochen vor den Quartalszahlen — The Inference. Canonical: https://theinference.org/article/rapid7-turns-gitlab-s-10-0-flaw-into-a-live-product-demo-three-weeks-before-earnings/de