GitLab heeft beveiligingsupdates uitgebracht voor twaalf kwetsbaarheden in GitLab Community Edition (CE) en Enterprise Edition (EE). Eén daarvan is als kritiek aangemerkt: CVE-2026-110264, een integer overflow in de Regular Expression Compiler met de maximale CVSS-score van 10,0. Volgens GitLab is het lek onder bepaalde voorwaarden zonder authenticatie te misbruiken, waarmee een aanvaller op afstand willekeurige code kan uitvoeren.
De kwetsbaarheid raakt installaties vanaf versie 7.0, wat vrijwel elke actieve GitLab-omgeving omvat. GitLab heeft de fix doorgevoerd in de versies 18.11.13, 19.0.10, 19.1.9, 19.2.9, 19.3.6, 19.4.3 en 19.5.1. GitLab.com draait zelf al op een gepatchte versie, en GitLab Dedicated-klanten met build 19.3.5-internal0 of 19.4.2-internal0 of nieuwer hebben de fix ook al binnen. Voor wie misbruik van dit specifieke lek wil opsporen voordat het lukt, wijst GitLab op de signalen “Onigmo native worker crash” en “Org mode render error burst” in de logs.
De overige elf kwetsbaarheden zijn minder ernstig, maar niet te negeren. CVE-2026-15723 scoort 8,2 en vereist een geauthenticeerde aanvaller, CVE-2026-112212 komt op 7,5 uit. Daarna volgen nog negen lekken met scores tussen 2,7 en 6,8: CVE-2026-12664, CVE-2026-16255, CVE-2026-13319, CVE-2026-105777, CVE-2026-112378, CVE-2026-14288, CVE-2026-112326, CVE-2026-103515 en CVE-2026-105711. GitLab meldt op dit moment geen actief misbruik van de kritieke regex-compiler-bug of van de overige elf kwetsbaarheden. Dat is een ander verhaal dan CVE-2026-85706, een los, ouder GitLab-lek dat volgens CISA wél al actief wordt misbruikt. Die twee kwetsbaarheden staan los van elkaar, maar onderstrepen dat GitLab-servers de laatste tijd vaker doelwit zijn.
Toch is haast gerechtvaardigd. Beveiligingsdienst Shadowserver telt meer dan 2.700 publiek bereikbare GitLab CE-instanties, en zelfgehoste servers die rechtstreeks vanaf internet te benaderen zijn, zijn doorgaans het eerste doelwit zodra aanvallers een patch reverse-engineeren. Dat gebeurt bij eerdere GitLab-kwetsbaarheden regelmatig al binnen enkele dagen na publicatie.
Beheerders van zelfgehoste GitLab CE- of EE-omgevingen doen er goed aan de update niet uit te stellen tot de volgende geplande onderhoudsronde. Controleer vooral of de server rechtstreeks vanaf het internet bereikbaar is, want dat is precies het scenario waarin dit lek het grootste risico vormt. Gebruikers van GitLab.com of GitLab Dedicated hoeven zelf niets te doen: die omgevingen zijn al bijgewerkt.
Bron: BleepingComputer en NCSC-NL Advisories
Wat betekent dit voor jouw bedrijf?
Zelf gehoste GitLab CE of EE draaien en bereikbaar vanaf internet? Update dan nu naar 18.11.13, 19.0.10, 19.1.9, 19.2.9, 19.3.6, 19.4.3 of 19.5.1, afhankelijk van uw release-tak, in plaats van te wachten op de volgende onderhoudsronde.
Zelfde kwetsbaarheid
CISA voegt actief misbruikte GitLab-RCE en Cisco-firewalllek toe aan KEV-lijst
DreigingenGitLab verhelpt kritieke RCE-kwetsbaarheid met CVSS-score 10 in CI/CD-compiler
DreigingenCISA bevestigt actieve aanvallen op kritiek GitLab-lek
DreigingenNCSC: patch kritiek GitLab-lek met CVSS-score 10, al actief misbruikt
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.