Cyber-Attacken auf GitLab, ConnectWise ScreenConnect und JFrog Artifactory

Sicherheitslücken in GitLab, ConnectWise ScreenConnect und JFrog Artifactory stehen im Visier von Angreifern im Netz. Die US-amerikanische IT-Sicherheitsbehörde CISA warnt, dass Cyberkriminelle bekannte Schwachstellen in den Programmen ausnutzen. Zu Art und Umfang der Attacken lässt sich die Behörde hingegen nicht aus.

Zum Wochenende hat die CISA eine Warnung vor Cyberattacken auf eine Path-Traversal-Schwachstelle in der GitLab Community Edition und der Enterprise Edition herausgegeben. Die IT-Sicherheitsexperten von watchTowr liefern weitere Details dazu. Am Donnerstag vergangener Woche sind die GitLab-Versionen 19.3.2, 19.2.6 und 19.1.8 erschienen, die unter anderem die Path-Traversal-Lücke CVE-2026-85706 (CVSS 10.0, Risiko „kritisch“) schließen. Die Schwachstelle erlaubt nicht authentifizierten Nutzern das Auslesen beliebiger Dateien von GitLab-Servern. Dadurch können Angreifer unbefugt an Informationen gelangen, darunter etwa auch Konfigurationsdateien, Geheimnisse/Secrets und andere sensible serverseitige. Für Cloud-Kunden wurden die Lücken bereits serverseitig behoben, wer eigene On-Premises-Instanzen betreibt, muss zügig auf die aktualisierten Softwarestände aktualisieren.

Drei weitere angegriffene Sicherheitslücken

In einer weiteren Warnung greift die CISA drei Schwachstellen auf, die ebenfalls bereits in freier Wildbahn unter Beschuss stehen. Zwei davon betreffen JFrog Artifactory, einen Repository-Manager für unterschiedliche Paketformate. Eine der attackierten Lücken ermöglicht Angreifern das Ausweiten ihrer Rechte aufgrund einer unzureichenden Gültigkeitsprüfung von Token (CVE-2026-42016, CVSS 8.8, Risiko „hoch“). Version 7.133.11 und neuere von JFrog Artifactory korrigieren das. Die Preisgabe von Ressourcen an unbefugte und nicht authentifizierte Nutzer kann zudem durch eine fehlerhafte Rückgabe eines Anonymous-User-Token erfolgen (CVE-2026-42018, CVSS 7.5, Risiko „hoch“). Admins sollten zügig die bereitstehenden Updates in selbstgehosteten Umgebungen anwenden. Das Sicherheitsleck CVE-2026-42018 wurde je nach eingesetztem Zweig erst in 7.111.20, 7.117.27, 7.125.19, 7.133.28 oder 7.146.8 behoben.

Die Fernsteuersoftware ScreenConnect von ConnectWise weist zudem eine clientseitige Sicherheitslücke auf, durch die bei einer aktiven Fernwartungssitzung ohne Autorisierung oder Bestätigung auf dem Host Dateien übertragen und ausgeführt werden können (CVE-2026-84869, CVSS 9.9, Risiko „kritisch“). Die IT-Sicherheitsforscher von Huntress beobachten Wurm-artige Aktivitäten im Kontext dieser Schwachstelle. IT-Verantwortliche müssen demnach auf ConnectWise ScreenConnect 26.6.5 oder neuer aktualisieren, um die Lücke zu schließen. Zudem liefert Huntress eine Liste an Hinweisen auf erfolgreiche Angriffe (Indicators of Compromise, IOC), mit denen Admins ihre Installationen auf Befall prüfen können.

Seit vergangener Woche sind zudem Angriffe auf Cisco Secure Firewall Management Center bekannt. Auch hier stehen Softwareupdates bereit, mit denen IT-Verantwortliche ihre Systeme absichern können.