Meerdere ernstige kwetsbaarheden in GitLab CE en EE stellen systemen bloot aan misbruik; updates zijn beschikbaar en dringend aanbevolen.
In GitLab Community Edition (CE) en Enterprise Edition (EE) zijn meerdere kwetsbaarheden ontdekt die een groot beveiligingsrisico vormen. De ernstigste kwetsbaarheid, geregistreerd als CVE-2026-97229, heeft een maximale CVSS-score van 10.0. Het Nationaal Cyber Security Centrum (NCSC) beoordeelt de kans op misbruik als gemiddeld en de potentiële schade als hoog. Het advies is om de nieuwste beveiligingsupdates zo snel mogelijk te installeren.
GitLab is software die organisaties gebruiken om gezamenlijk softwareprojecten te beheren, inclusief broncodebeheer, geautomatiseerde tests en uitrolprocessen binnen teams. Kwaadwillenden kunnen de kwetsbaarheden misbruiken door zonder toestemming eigen code uit te voeren via een malafide configuratie in de Continuous Integration/Continuous Delivery (CI/CD) omgeving. Dit betekent dat onder bepaalde omstandigheden opdrachten kunnen worden uitgevoerd op het onderliggende systeem, zonder dat daarvoor inloggen nodig is. Hierdoor kunnen aanvallers toegang krijgen tot gevoelige gegevens of de werking van de software verstoren.
Als deze kwetsbaarheden niet worden verholpen, kan een aanvaller controle krijgen over delen van het systeem, wat kan leiden tot datadiefstal, manipulatie van gegevens, schadelijke acties of verstoring van de dienstverlening. Er is bekend dat deze kwetsbaarheden actief worden misbruikt, wat het belang van snelle actie onderstreept. De kwetsbare versies zijn alle releases voorafgaand aan 19.2.8, 19.3.5 en 19.4.2.
GitLab heeft updates uitgebracht in versies 19.2.8, 19.3.5 en 19.4.2 die deze kwetsbaarheden verhelpen. Het NCSC adviseert om deze updates direct te installeren. Indien onduidelijk is welke versie wordt gebruikt, wordt aanbevolen contact op te nemen met de IT-dienstverlener. Het is van belang om altijd de instructies van de leverancier te volgen en waar nodig ondersteuning te vragen bij het uitvoeren van de updates. Meer details zijn te vinden in de advisory van het NCSC.
