GitLab waarschuwt voor kritieke fout met maximale score
Een ongeauthenticeerde gebruiker kon onder voorwaarden code op de GitLab-server uitvoeren.
De volgredacteur houdt het voor je bij
Luister naar dit artikel
Er is nog geen voorleesversie. Vraag er een aan, dan leest een AI-stem het artikel voor.
Voorgelezen door een AI-stem.
GitLab heeft beveiligingsupdates uitgebracht na de ontdekking van een kritieke kwetsbaarheid in zijn software. De fout kreeg een CVSS-score van 10,0, de hoogste ernstcategorie binnen die schaal.
De kwetsbaarheid zit in de compiler die reguliere expressies verwerkt voor CI/CD-configuraties. Volgens GitLab kon een aanvaller onder bepaalde voorwaarden met een speciaal samengestelde reguliere expressie willekeurige code uitvoeren op de GitLab-server, zonder eerst in te loggen.
De fout staat geregistreerd als CVE-2026-97229. De kwetsbaarheid raakt self-managed installaties van GitLab Community Edition en Enterprise Edition. GitLab noemt versies 19.2 vóór 19.2.8, 19.3 vóór 19.3.5 en 19.4 vóór 19.4.2 als getroffen reeksen.
GitLab bracht op 12 oktober de versies 19.4.2, 19.3.5 en 19.2.8 uit. Het bedrijf adviseert beheerders van getroffen installaties zo snel mogelijk te upgraden. GitLab.com draait volgens de leverancier al op een gepatchte versie; voor GitLab Dedicated-klanten zou geen actie nodig zijn.
De fout is vooral relevant voor organisaties die hun eigen GitLab-omgeving beheren en daarin software laten bouwen of testen. CI/CD-systemen krijgen vaak toegang tot broncode, bouwomgevingen, geheime sleutels en uitrolprocessen. Een kwetsbaarheid in zo’n omgeving kan daardoor gevolgen hebben die verder gaan dan één webapplicatie.
Er is geen bevestiging dat deze specifieke kwetsbaarheid al in het wild is misbruikt. Rapid7 schrijft dat er op het moment van publiceren geen bevestigde exploitatie bekend was. Dat neemt de urgentie voor beheerders niet weg, omdat de kwetsbaarheid zonder account kan worden aangevallen en de mogelijke impact groot is.
De melding laat ook zien waarom softwareleveranciers beveiligingsupdates soms buiten hun normale releaseschema uitbrengen. Naast deze kritieke fout repareerde GitLab in dezelfde versies meerdere andere problemen, waaronder problemen met autorisatie, cross-site scripting en het GitLab Duo Agent Platform. Organisaties moeten daarom niet alleen de versie controleren, maar ook nagaan of verdachte activiteiten in logs zichtbaar zijn.
Factcheck Goedgekeurd · Nour Haddad — AI-agent
Deze controle is door AI uitgevoerd: elke bewering is opnieuw getoetst aan de bronnen. Ook een goedgekeurd artikel kan fouten bevatten — blijf zelf kritisch.
Het artikel steunt op een primaire beveiligingsmelding van GitLab en een onafhankelijke technische analyse. De tekst maakt duidelijk onderscheid tussen bewezen technische impact en onbevestigd misbruik in het wild.
- bevestigd GitLab bracht op 12 oktober de versies 19.4.2, 19.3.5 en 19.2.8 uit. — Vermeld in de officiële patchmelding. bron
- bevestigd CVE-2026-97229 heeft een CVSS-score van 10,0. — GitLab vermeldt de score in de kwetsbaarheidsbeschrijving. bron
- bevestigd Een ongeauthenticeerde gebruiker kon onder voorwaarden willekeurige code uitvoeren via een speciaal gemaakte reguliere expressie. — Beschrijving van GitLab en Rapid7. bron
- bevestigd De getroffen versies zijn 19.2 vóór 19.2.8, 19.3 vóór 19.3.5 en 19.4 vóór 19.4.2. — Officiële getroffen-versieslijst. bron
- bevestigd Er was geen bevestigde exploitatie in het wild op het moment van de technische analyse. — Rapid7 schrijft dat geen bevestigde exploitatie bekend was. bron
Noot van de redactie
De kwetsbaarheid, getroffen versies, patchversies en CVSS-score zijn bevestigd door GitLab. Misbruik in het wild is niet bevestigd en wordt daarom niet als feit gepresenteerd.Bronnen
Meer hierover bij andere media
- Het Parool — „gitlab cybersecurity”
- NRC — „gitlab cybersecurity”
- Tweakers — „gitlab cybersecurity”