Draait u een self-managed GitLab (Community of Enterprise) voor code, CI/CD of klantprojecten, upgrade vandaag naar 19.1.8, 19.2.6 of 19.3.2. Op 10 september 2026 publiceerde GitLab kritieke patches; CISA zette CVE-2026-85706 op 11 september 2026 op de Known Exploited Vulnerabilities-lijst (deadline zondag 14 september 2026). GitLab.com is al gepatcht; Dedicated-klanten hoeven niets te doen.
KMO-IMPACT: DRINGEND
Wat er speelt
CVE-2026-85706 is een path traversal in de repository commits API. Onder bepaalde voorwaarden kan een niet-aangemelde aanvaller willekeurige bestanden van de GitLab-server lezen. GitLab scoort dit op CVSS 10.0. Getroffen: CE/EE vanaf 18.7 tot vóór 19.1.8, 19.2 tot vóór 19.2.6, en 19.3 tot vóór 19.3.2.
Dezelfde patchrelease dekt ook andere ernstige issues, waaronder in EE o.a. onveilige deserialisatie via GraphQL (CVE-2026-87719, CVSS 9.9) en een buffer overflow bij Unicode-conversie die tot remote code execution kan leiden (CVE-2026-88765). Voor zelf gehoste instanties is één upgrade naar de vaste builds voldoende om dit pakket mee te nemen.
Single-node upgrades brengen downtime mee door database-migraties; multi-node kan met zero-downtime-procedures. Versie 19.3.2 heeft post-deploy migrations die na de upgrade mogen lopen.
Wat betekent dit voor uw onderneming?
- Voor wie: softwarebureaus, productteams en kmo’s met self-managed GitLab CE/EE die vanaf internet of intern bereikbaar is; ook wie GitLab via een hostingpartner draait moet de versie laten bevestigen.
- Vanaf wanneer: patches 10 september 2026; CISA-KEV 11 september 2026; due date 14 september 2026.
- Financiële impact: lekken van broncode, tokens, CI-geheimen of serverbestanden; herstel en klantvertrouwen wegen zwaarder dan gepland onderhoudsvenster.
- Wat moet u doen: noteer huidige versie; upgrade naar 19.1.8 / 19.2.6 / 19.3.2; beperk of haal publieke toegang weg tot de patch staat; bekijk recente logs op de repository commits API op ongebruikelijke onauthenticated requests.
- Deadline: zo snel mogelijk, praktisch gericht op zondag 14 september 2026.
- Nog niet duidelijk: of er al misbruik was op uw instantie vóór de patch — dat vraagt loganalyse; GitLab.com/Dedicated vallen buiten deze actie.
Wie GitLab alleen intern houdt achter VPN, blijft kwetsbaar voor wie dat netwerk bereikt. Prioriteer publiek bereikbare instanties eerst, daarna interne servers met productiecode of gedeelde runners. Plan het onderhoudsvenster expliciet: single-node betekent korte downtime tijdens migraties.
Praktisch voor de zaakvoerder
Vraag uw developer of MSP: “Welke GitLab-versie draaien we, is die self-managed, en staat de upgrade naar 19.1.8/19.2.6/19.3.2 gepland vóór maandag?” Zonder bevestigd versienummer blijft het risico open. SaaS op GitLab.com is volgens de vendor al veilig.
