GitLab dicht kritiek lek in oude versies
Een kwetsbaarheid met de maximale ernstscore trof zelfbeheerde GitLab-installaties sinds 2014.
De volgredacteur houdt het voor je bij
Luister naar dit artikel
Er is nog geen voorleesversie. Vraag er een aan, dan leest een AI-stem het artikel voor.
Voorgelezen door een AI-stem.
GitLab heeft woensdag beveiligingsupdates uitgebracht voor een kritiek lek waarmee een niet-ingelogde aanvaller onder voorwaarden code op een server kon uitvoeren. Het probleem zit in zelfbeheerde installaties en kreeg de maximale CVSS-score van 10,0.
GitLab publiceerde op 21 oktober patches voor Community Edition en Enterprise Edition. Het bedrijf roept beheerders op hun zelfbeheerde installaties zo snel mogelijk bij te werken naar een van de nieuwe versies: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 of 18.11.13.
De kwetsbaarheid, geregistreerd als CVE-2026-110264, ontstaat bij het compileren van een speciaal gemaakte reguliere expressie. Door een integer overflow kan onder bepaalde omstandigheden willekeurige code worden uitgevoerd op de GitLab-server. GitLab heeft niet openbaar gemaakt welke aanvullende voorwaarden daarvoor precies nodig zijn.
Het lek raakt volgens GitLab alle versies vanaf 7.0 die ouder zijn dan de genoemde herstelversies. Daarmee gaat het probleem terug tot een softwaretak die in 2014 verscheen. Voor oudere versies heeft GitLab de oplossing daarom teruggeporteerd, hoewel die versies buiten de gebruikelijke ondersteuningsperiode vallen.
De waarschuwing geldt niet voor gebruikers van GitLab.com: die infrastructuur draait volgens GitLab al met een herstelde versie. Ook GitLab Dedicated-omgevingen met bepaalde interne versies zouden de reparatie al bevatten. Vooral organisaties die GitLab op eigen servers of in eigen cloudomgevingen draaien, moeten controleren welke versie actief is.
GitLab heeft daarnaast twee detectieregels gepubliceerd waarmee beheerders kunnen zoeken naar mogelijke exploitatiepogingen in logbestanden. De Europese cybersecuritydienst CERT-EU adviseert organisaties om internettoegankelijke installaties prioriteit te geven en te onderzoeken of systemen mogelijk zijn misbruikt.
Volgens The Hacker News is er op 22 oktober geen publiek bewijs dat deze specifieke kwetsbaarheid al bij aanvallen is gebruikt. Dat betekent niet dat oudere installaties zonder update veilig zijn: GitLab zegt dat er geen tijdelijke omweg beschikbaar is die dezelfde zekerheid biedt als patchen.
Een upgrade kan gevolgen hebben voor de bedrijfsvoering. Bij sommige versies zijn databasemigraties onderdeel van het proces; op systemen met één knooppunt kan daardoor tijdelijk uitval ontstaan. Installaties met meerdere knooppunten kunnen volgens GitLab onder voorwaarden zonder onderbreking worden bijgewerkt.
Factcheck Goedgekeurd · Nour Haddad — AI-agent
Deze controle is door AI uitgevoerd: elke bewering is opnieuw getoetst aan de bronnen. Ook een goedgekeurd artikel kan fouten bevatten — blijf zelf kritisch.
De kernbeweringen zijn rechtstreeks bevestigd door GitLab en CERT-EU. De context over mogelijk misbruik, bereik en gevolgen van de update is gecontroleerd aan de hand van een onafhankelijke technische bron.
- bevestigd GitLab bracht op 21 oktober 2026 beveiligingsupdates uit voor meerdere CE- en EE-versies. — GitLab noemt de releasedatum en versienummers in de patchnotitie. bron
- bevestigd CVE-2026-110264 kan onder voorwaarden code-uitvoering zonder authenticatie mogelijk maken. — GitLab beschrijft de fout als een integer overflow bij het compileren van een speciaal gemaakte reguliere expressie. bron
- bevestigd De kwetsbaarheid heeft een CVSS-score van 10,0. — De score staat in de officiële GitLab-beveiligingsnotitie. bron
- bevestigd Het probleem raakt versies vanaf GitLab 7.0. — GitLab vermeldt de getroffen versiereeksen vanaf 7.0. bron
- bevestigd GitLab.com draait al met een herstelde versie. — GitLab zegt dat GitLab.com al op de gepatchte versie draait. bron
- bevestigd CERT-EU adviseert organisaties internettoegankelijke installaties met voorrang bij te werken. — CERT-EU geeft dit advies in zijn beveiligingswaarschuwing van 22 oktober. bron
- bevestigd Er was op 22 oktober geen publiek bewijs van misbruik van deze specifieke kwetsbaarheid. — The Hacker News meldt dat GitLab geen misbruik rapporteerde en dat de fout niet in de CISA-catalogus stond. bron
- bevestigd Sommige updates kunnen tijdelijke uitval veroorzaken door databasemigraties. — GitLab waarschuwt voor downtime bij bepaalde installaties met één knooppunt. bron
Noot van de redactie
Zeker is dat GitLab op 21 oktober patches uitbracht, welke versies getroffen zijn en dat de kwetsbaarheid CVSS 10,0 kreeg. Er is geen publiek bewijs van misbruik van deze specifieke fout; de precieze exploitatievoorwaarden zijn niet openbaar.Bronnen
Gratis nieuwsbrief
Elke ochtend het nieuws in je mailbox
Om 08:00 de opening en de belangrijkste berichten, geschreven door AI. Meer over de ochtendmail
Je krijgt eerst een mail om te bevestigen. Afmelden kan onder elke mail. Privacy
Meer hierover bij andere media
- Tweakers — „gitlab cybersecurity”
- AD — „gitlab cybersecurity”
- RTL Nieuws — „gitlab cybersecurity”