Ruim 11.300 GitLab-instances zijn nog altijd kwetsbaar voor CVE-2026-110264, een fout die het aanvallers in staat stelt om op afstand code uit te voeren. De kwetsbaarheid zit in de Regular Expression Compiler. De Shadowserver Foundation meldt dat 1.000 servers tevens de patch voor CVE-2026-97229 ontberen, een lek dat al actief wordt misbruikt.
De Shadowserver Foundation ziet dagelijks zo’n 39.000 GitLab-instances op het internet. Een flink deel daarvan is kwetsbaar voor bekende exploits. Ruim 1.000 servers hebben geen patch voor CVE-2026-97229. Meer dan 11.300 instances zijn tevens blootgesteld aan CVE-2026-110264. Dat is bijna 30 procent van alle installaties die de organisatie kan zien.
Vooral het eerste lek is belangrijk om gelijk te patchen. CVE-2026-97229 staat sinds 29 oktober in de Known Exploited Vulnerabilities-catalogus van CISA. Aanvallers misbruiken de kwetsbaarheid dus al, met alle gevolgen van dien. Amerikaanse federale instanties moesten het lek uiterlijk gisteren hebben gedicht.
Regex als aanvalsvector
Beide kwetsbaarheden hebben een CVSS-score van 10.0 en zitten in de Ruby/Onigmo-regexengine die GitLab meelevert. Bij CVE-2026-97229 kan een aanvaller met een specifieke regular expression in een CI/CD-configuratie willekeurige code uitvoeren op een self-managed GitLab CE- of EE-server. CVE-2026-110264 zit in de Regular Expression Compiler en geeft een niet-geauthenticeerde aanvaller eveneens de mogelijkheid om code uit te voeren. Voor dat tweede lek is volgens beschikbare meldingen nog geen misbruik bevestigd.
Wie eerder snel patchte, is overigens mogelijk slechts gedeeltelijk beveiligd. De versies 19.4.2, 19.3.5 en 19.2.8 dichten CVE-2026-97229, maar niet CVE-2026-110264.
Welke versies zijn veilig?
GitLab bracht op 21 oktober patches uit die beide lekken verhelpen. Het gaat om de versies 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 en 18.11.13. Meer informatie over deze versies staat in de patch-overzichten van GitLab. Securityonderzoekers adviseren daarnaast om CI/CD-configuraties en logs te controleren op verdachte regex-patronen. Daarnaast moeten beheerders tokens, deploy keys en andere secrets op de server vervangen. Shadowserver deelt de IP-gegevens van kwetsbare instances via zijn Vulnerable HTTP-rapportage.
Lees ook: GitLab dicht kritiek lek dat code-uitvoering mogelijk maakt