GitLab brengt updates uit om een kritieke kwetsbaarheid te verhelpen die ongeauthenticeerde code-uitvoering mogelijk maakt.
Op 12 oktober 2026 heeft GitLab nieuwe versies uitgebracht van de Community Edition (CE) en Enterprise Edition (EE), respectievelijk 19.4.2, 19.3.4 en 19.2.8. Deze updates verhelpen in totaal 24 beveiligingsproblemen, waaronder een kritieke kwetsbaarheid die een ongeauthenticeerde aanvaller in staat kan stellen om willekeurige code op de server uit te voeren.
De kwetsbaarheid, geregistreerd als CVE-2026-97229 en beoordeeld met een maximale CVSS-score van 10.0, bevindt zich in de CI/CD reguliere expressie compiler. Door zwakke validatie van reguliere expressies kan een integer overflow optreden, waardoor een speciaal vervaardigde expressie in een CI/CD-configuratie code-uitvoering kan triggeren. Naast deze kritieke fout zijn er ook andere ernstige kwetsbaarheden opgelost, zoals een cross-site scripting (XSS) probleem in syntax highlighting (CVE-2026-92883, CVSS 8.7) waarmee een geauthenticeerde gebruiker JavaScript kan uitvoeren in browsers van andere gebruikers via een gemanipuleerde repository. Tevens is een autorisatiefout (CVE-2026-16301, CVSS 8.5) aangepakt die het mogelijk maakte voor ontwikkelaars om zonder toestemming pipelines op beschermde branches te draaien. Daarnaast zijn nog 21 andere kwetsbaarheden verholpen, waaronder een cache poisoning bug (CVSS 8.2) die gevoelige CI/CD-variabelen kon blootstellen.
De kwetsbaarheden treffen zelfbeheerde GitLab CE/EE-installaties die draaien op versies ouder dan 19.4.2, 19.3.4 en 19.2.8. CERT-EU adviseert dan ook dringend om alle zelfbeheerde GitLab-instanties zo snel mogelijk te updaten naar een van de gepatchte versies, met prioriteit voor systemen die direct aan het internet zijn blootgesteld. Meer details over de patches en de achterliggende problemen zijn te vinden in de officiële patch release notes van GitLab.
