Trotz umgehender Einspielung des Patches zur Schließung einer kritischen Sicherheitslücke (CVE-2026-110264) auf gitlab.lrz.de, mussten wir bei den nachfolgenden Analysen Ausnutzungsversuche und einzelne unautorisierte Zugriffe auf die Instanz feststellen.
Infolgedessen werden wir in der kommenden Woche gitlab.lrz.de auf einen zuverlässig unkompromittierten Stand vom 18.10. – 00:10 Uhr zurücksetzen und alle Secrets erneuern. Obwohl ein tatsächlicher Abfluss von Daten oder tiefergehende Manipulation bislang nicht nachgewiesen werden konnten, sehen wir uns zu dieser vorsorglichen Sicherheitsmaßnahme gezwungen.
Seither erstellte Inhalte (Issues, Wikieinträge, etc.) können dabei verloren gehen. Bitte sichern Sie solche, sodass Sie diese in der kommenden Woche wieder einstellen könnten. Hierzu läuft die Instanz bis zu ihrer Zurücksetzung im readonly-Modus.
Weitere Informationen erhalten Sie sukzessive auf status.lrz.de.
Despite immediately applying the patch to address a critical security vulnerability (CVE-2026-110264) for gitlab.lrz.de, our subsequent investigation revealed attempts to exploit the vulnerability and isolated instances of unauthorized access.
As a result, we will restore gitlab.lrz.de to a reliably uncompromised state (October 18th 00:10) next week and renew all secrets. Although no data exfiltration or extensive manipulation has been proven to date, we are compelled to take this precautionary security measure.
Content created since then (issues, wiki entries, etc.) may be lost in the process. Please back up this content so that you can repost it next week. Until it is reset, the instance will operate in read-only mode.
Further information will be provided gradually on status.lrz.de.
Zuletzt aktualisiert: Do., 29.10.2026 14:14