Meer dan duizend GitLab-servers, waaronder veertien in Nederland, missen een belangrijke beveiligingsupdate voor een actief aangevallen kwetsbaarheid. Het beveiligingslek werd gebruikt bij een aanval op Linux-distributie Alpine Linux. Daarnaast missen ruim elfduizend GitLab-servers een patch voor een kwetsbaarheid waardoor remote code execution (RCE) door een ongeauthenticeerde aanvaller mogelijk is. Dat meldt The Shadowserver Foundation op basis van eigen onderzoek.
GitLab is een populaire online DevOps-tool voor het opslaan, beheren en ontwikkelen van software. Het platform is meerdere keren het doelwit van aanvallen geweest. Het actief misbruikte beveiligingslek wordt aangeduid als CVE-2026-97229. Het gaat om een integer overflow waardoor een ongeauthenticeerde aanvaller via een malafide CI/CD-configuratie willekeurige code op de GitLab-server kan uitvoeren.
De kwetsbaarheid heeft een CVSS-impactscore van 10.0 op een schaal van 1 tot en met 10. Vorige week meldde Linux-distributie Alpine Linux dat het via de kwetsbaarheid was aangevallen. GitLab had op 12 oktober patches voor het probleem gepubliceerd. The Shadowserver Foundation is een stichting die onderzoek doet naar kwetsbare systemen op internet. Het deed een online scan naar GitLab-servers. Dat leverde meer dan duizend servers op die de update voor CVE-2026-97229 missen. Van de kwetsbare servers bevinden zich er veertien in Nederland.
The Shadowserver Foundation controleerde ook op de aanwezigheid van patches voor een ander lek, aangeduid als CVE-2026-110264. Deze kwetsbaarheid maakt ook remote code execution mogelijk en heeft ook een CVSS-impactscore van 10.0. GitLab kwam op 21 oktober met updates voor dit probleem. Ruim elfduizend GitLab-servers blijken deze updates niet te hebben geïnstalleerd, waarvan 175 in Nederland.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Functionaris Gegevensbescherming (FG)
Wil jij met jouw privacykennis impact maken op de zorg? Je adviseert ruim 150 zorgorganisaties over privacy, gegevens bescherming en de verantwoorde inzet van data en AI. Je werkt aan regionale vraagstukken, schakelt met bestuurders en experts en krijgt volop ruimte voor ontwikkeling, opleiding en flexibiliteit.
Chief Information Security Officer
Wil jij richting geven aan informatie-veiligheid binnen twee gemeenten die digitaal volop in ontwikkeling zijn? Zoek je een rol waarin strategie, beleid en samenwerking samenkomen? Dan ma-ken we graag kennis met je.
