GitLab heeft een kwetsbaarheid met de maximale CVSS-score van 10,0 verholpen in de CI/CD Regular Expression Compiler, het onderdeel dat reguliere expressies in pipeline-configuraties van projecten parseert en uitvoert. Een ongeauthenticeerde aanvaller kon met een speciaal geprepareerde reguliere expressie in een kwaadaardige CI/CD-configuratie willekeurige code op de GitLab-server laten uitvoeren, meldt het NCSC in een eigen advies. Het lek is geregistreerd als CVE-2026-97229.
De kwetsbaarheid is een integer-overflow en treft zowel GitLab Community Edition als Enterprise Edition: versies 19.2 vóór 19.2.8, 19.3 vóór 19.3.5 en 19.4 vóór 19.4.2. GitLab bracht de patches dinsdag uit en adviseert zelfgehoste installaties met klem om direct te updaten. GitLab.com draait al op de gepatchte versie en klanten van GitLab Dedicated hoeven niets te doen. Beveiligingsonderzoeker joaxcar meldde het lek via het HackerOne-bugbountyprogramma van GitLab.
Nog drie hoog-risico kwetsbaarheden in dezelfde ronde
Het NCSC-advies telt in totaal 24 kwetsbaarheden in deze patchronde, verspreid over onder meer de CI/CD-pipelineomgeving, autorisatiemechanismen, de API, de Kubernetes-integratie en de package registry. Naast CVE-2026-97229 springen drie fouten eruit. CVE-2026-92883 (CVSS 8,7) is een cross-site scripting-kwetsbaarheid waarmee een geauthenticeerde gebruiker via een geprepareerde repository JavaScript laat uitvoeren in de browsersessie van andere gebruikers. CVE-2026-16301 (CVSS 8,5) zit in de service voor het aanmaken van downstream-pipelines en laat een gebruiker met de Developer-rol pipelines uitvoeren op beschermde branches. CVE-2026-14814 (CVSS 8,2) is een te ruime reguliere expressie waarmee een aanvaller gecachete responses voor ruwe repositorybestanden kan vergiftigen, zodat pipelines van andere gebruikers kwaadaardige inhoud uitvoeren.
Geen van de bronnen meldt op dit moment bewijs van actief misbruik van CVE-2026-97229 of een publiek proof-of-concept. Dat biedt weinig geruststelling: vorige maand patchte GitLab nog CVE-2026-85706, eveneens met CVSS 10,0, en die path traversal-kwetsbaarheid werd binnen enkele uren na publicatie al actief misbruikt en later aan de CISA KEV-catalogus toegevoegd. Weken daarvoor verhielp het bedrijf CVE-2026-90970 (CVSS 9,9) in de AI Gateway. CISA heeft sinds november 2021 al vijf GitLab-kwetsbaarheden als actief misbruikt bestempeld, waarvan er één door ransomwaregroepen is ingezet. GitLab zegt meer dan 30 miljoen geregistreerde gebruikers te hebben, en meer dan de helft van de Fortune 100-bedrijven gebruikt het platform.
Voor organisaties met een self-hosted GitLab-omgeving is dit geen patch om op de lange baan te schuiven, ook al is er nog geen misbruik bevestigd. Controleer de huidige versie tegen 19.2.8, 19.3.5 en 19.4.2, update met voorrang als CI/CD-pipelines vanaf het internet bereikbaar zijn, en kijk gezien het patroon van de afgelopen maanden niet raar op als deze kwetsbaarheid alsnog in de KEV-catalogus verschijnt.
Bron: NCSC-NL Advisories, BleepingComputer, The Hacker News
Wat betekent dit voor jouw bedrijf?
Draait u een self-hosted GitLab CE- of EE-instantie? Update per direct naar 19.2.8, 19.3.5 of 19.4.2, zeker als de CI/CD-pipelines vanaf het internet bereikbaar zijn. GitLab.com en Dedicated-klanten hoeven niets te doen.
Zelfde kwetsbaarheid
Kritiek GitLab-lek (CVSS 9,9) in AI Gateway maakt commando-uitvoering op eigen servers mogelijk
DreigingenCISA bevestigt actieve aanvallen op kritiek GitLab-lek
DreigingenNCSC: patch kritiek GitLab-lek met CVSS-score 10, al actief misbruikt
DreigingenGitLab-lek met CVSS-score 10 binnen uren na onthulling al actief misbruikt
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.