Ing. Calogero Bono
Op 12 oktober 2026 heeft GitLab de versies 19.4.2, 19.3.5 en 19.2.8 uitgebracht voor Community Edition en Enterprise Edition. Daarin zit de fix voor CVE-2026-97229, een kwetsbaarheid met CVSS-score 10.0 waarmee willekeurige code op de server kan worden uitgevoerd. Donderdag heeft het Amerikaanse CISA actief misbruik bevestigd en de fout in de KEV-catalogus opgenomen. Als je zelf een GitLab-instantie beheert, is direct updaten het belangrijkste.
Even een paar termen voordat we de feiten induiken. CVE is de code die een openbare kwetsbaarheid identificeert. CVSS is de ernstscore van 0 tot 10. CI/CD staat voor de geautomatiseerde pijplijnen die code compileren, testen en publiceren. KEV is de CISA-catalogus van lekken die al in echte aanvallen zijn misbruikt. RCE betekent remote code execution, oftewel commando's laten draaien op de server van iemand anders.
Wat is CVE-2026-97229?
Volgens de officiële pagina van GitLab gaat het om een integer overflow in de compiler voor reguliere expressies die voor CI/CD-configuraties wordt gebruikt. Onder bepaalde omstandigheden kon een niet-geauthenticeerde gebruiker met een zorgvuldig opgestelde reguliere expressie willekeurige code op de server uitvoeren, door onvoldoende validatie.
De CVSS-vector is netwerk, lage complexiteit, geen privileges en geen gebruikersinteractie. Daarom komt de score op 10.0. De melding komt van joaxcar via het bug bounty-programma op HackerOne.
Wie misbruikt het?
Zoals BleepingComputer meldt, heeft CISA de fout aan de KEV toegevoegd en federale agentschappen gevraagd de servers vóór zondag te beveiligen. Volgens The Hacker News is de deadline voor burgerlijke agentschappen 1 november 2026.
De opname hangt samen met een incident dat Alpine Linux bekendmaakte. Een onbekende aanvaller heeft op 20 en 21 oktober 2026 zonder succes geprobeerd de fout op hun instantie te misbruiken. Hij stuurde speciaal gemaakte CI-configuraties en liet de worker-processen acht keer crashen. In vier van die gevallen mislukte de exploit bij de volgende stap. De aanvaller heeft ook de GitLab-containerimage van Alpine gedownload. De nieuwe pogingen van 25 en 26 oktober zijn geblokkeerd.
De beheerders van Alpine verklaarden – «The attack came close to working». Ze voegden toe dat ze geen bewijs van succes hebben gevonden, maar dat ze het niet kunnen uitsluiten. Daarom hebben ze de instantie vanaf nul opnieuw opgebouwd. Volgens hen zijn de aports-repository, de pakketten en de releases van 21 oktober niet gemanipuleerd.
Welke versies zijn getroffen?
Voor CVE-2026-97229 noemt GitLab alle versies vanaf 19.2 vóór 19.2.8, vanaf 19.3 vóór 19.3.5 en vanaf 19.4 vóór 19.4.2. GitLab.com gebruikt al de gecorrigeerde versie. De GitLab Dedicated-tenants zijn vóór de publicatie met een interne release bijgewerkt.
GitLab meldt ook dat 19.3.4 een bug had op de merge request-pagina's met de Ona-integratie ingeschakeld. Die is opgelost in 19.3.5. Het bedrijf heeft bovendien zes detectieregels voor dreigingen uitgebracht om beheerders van self-managed instanties te helpen pogingen tot misbruik op te sporen.
De andere lekken in dezelfde patch
De release bevat niet alleen het ernstigste geval. Naast de andere fixes, met de scores die GitLab opgeeft.
- CVE-2026-92883, cross-site scripting in de syntaxismarkering, CVSS 8.7.
- CVE-2026-16301, een gebruiker met de rol Developer kon pipelines starten op beveiligde branches, CVSS 8.5.
- CVE-2026-14814, cachevergiftiging van raw-bestanden, met mogelijke blootstelling van beveiligde variabelen, CVSS 8.2.
- CVE-2026-81839, pipelines werden uitgevoerd met de rechten van de nieuwe groep na het overzetten van een project (alleen EE), CVSS 7.7.
- CVE-2026-96893, injectie in de instructies van de AI-agents van GitLab Duo (alleen EE), CVSS 7.3.
Daarnaast zijn er vijf lekken met een gemiddelde ernst, waaronder het lezen van vertrouwelijke notities via GraphQL en het blootstellen van tokens in de logs van GitLab Pages. Het volledige overzicht staat op de officiële pagina.
Beperkingen om te kennen
We weten niet hoeveel instanties zijn gecompromitteerd. Shadowserver, geciteerd door BleepingComputer, volgt bijna 2.800 Community Edition-instanties op het internet, maar geeft niet aan hoeveel daarvan al zijn bijgewerkt. Dat getal moet je niet lezen als het aantal kwetsbare systemen.
In de bronnen staat niet wie de aanvaller is, en ook niet of er naast Alpine nog andere gevallen zijn. De technische details van de exploit zijn niet gepubliceerd. GitLab maakt meldingen 90 dagen na de release van de patch openbaar, dus er kunnen nog details volgen.
Wat verandert er voor wie met digitale zaken werkt
Als je voor je studio of bedrijf een self-managed GitLab gebruikt, is de versie de prioriteit. Een kwetsbaarheid zonder authenticatie op een server die code, geheimen en pipelines bevat, is ook voor je klanten een reëel risico. Wie zijn repository op GitLab.com host, is aan de platformkant al beschermd.
De les van Alpine is praktisch. Als je een compromittering niet kunt uitsluiten, bouw je de instantie opnieuw op en roteer je de geheimen. Installaties automatiseren helpt, zoals we uitleggen in de gids over Ansible voor configuratie en deployment. Voor servers is ook discipline met updates nodig, een onderwerp dat we behandelden bij de zaak Fragnesia en PHP2Shell. Een recenter voorbeeld van scans na de patch is Oracle E-Business Suite. Als je geen tijd hebt om alles bij te houden, zijn er hosting en beheerde servers met beveiligingsupdates.
Onze mening
Deze zaak laat zien hoe kort de tijd tussen patch en aanval kan zijn. De fix dateert van 12 oktober, de pogingen bij Alpine van de 20e, dus acht dagen. Wie bijwerkt bij de volgende maandelijkse cyclus, is te laat.
Er is ook een kritische noot. GitLab wordt genoemd als aanwezig bij meer dan de helft van de Fortune 100, en BleepingComputer somt in dezelfde periode een reeks kwetsbaarheden met maximale ernst op, waaronder nog twee met maximale ernst. Voor een dienst die de code en geheimen van een bedrijf beheert, is dat een frequentie die zwaar weegt. Het volstaat niet te zeggen dat GitLab snel corrigeert, ook al doet het dat. Wie alles in eigen huis houdt, moet rekenen op permanente bewaking, of die taak uitbesteden aan wie dat als vak doet.
Veelgestelde vragen
Moet ik GitLab meteen updaten?
Ja, als de instantie self-managed is en in de genoemde versies draait. GitLab raadt aan meteen te updaten naar 19.4.2, 19.3.5 of 19.2.8. Actief misbruik is door CISA bevestigd.
Is GitLab.com in gevaar?
Nee, volgens GitLab. GitLab.com gebruikt al de juiste versie en de Dedicated-tenants zijn bijgewerkt voor de publieke release.
Heb je een account nodig om de fout te misbruiken?
Nee. De CVSS-vector geeft aan dat er geen privileges nodig zijn en geen gebruikersinteractie. De aanval loopt via een zorgvuldig opgestelde CI/CD-configuratie.
Hoe weet ik of ik aangevallen ben?
De bronnen geven geen zekere methode. GitLab heeft zes detectieregels uitgebracht voor self-managed instanties. Alpine zag herhaalde crashes van de workers na afwijkende CI-configuraties.
Is bijwerken genoeg?
Dat hangt ervan af. Als de instantie blootgesteld was en de dagen ervoor niet gepatcht was, kun je een compromittering niet uitsluiten. Alpine heeft ervoor gekozen de instantie vanaf nul opnieuw op te bouwen.
Waar je de komende weken op moet letten, tussen patches en controles
In de komende dagen is het belangrijk te zien of er naast Alpine nog andere gevallen opduiken en of technische details worden gepubliceerd. Drie tips.
- Werk bij naar de nieuwste beschikbare versie voor jouw tak en controleer het versienummer na de installatie.
- Controleer de logs van de workers op herhaalde crashes en ongebruikelijke CI-configuraties, met gebruik van de detectieregels van GitLab.
- Als de instantie blootgesteld was en niet was bijgewerkt, roteer tokens en beveiligde variabelen en overweeg een herbouw.
