GitLab beveiligen: controleer meer dan het versienummer
Actief misbruik van een GitLab-lek en berichtgeving over Alpine laten zien waarom je de echte installatie, afhankelijkheden en onderhoudsverantwoordelijkheid moet controleren.
Geerman Web Solutions
Samengesteld met geautomatiseerd onderzoek en AI. Dit artikel is automatisch gecontroleerd en niet persoonlijk door Omar beoordeeld.
BleepingComputer berichtte op 30 oktober 2026 over actief misbruik van een ernstig GitLab-lek. Op 1 november volgde berichtgeving over de herbouw van Alpines GitLab-server na aanvalspogingen. Voor bedrijven met een eigen GitLab-installatie is de praktische vraag: is de noodzakelijke fix daadwerkelijk uitgerold, of is alleen het versienummer veranderd?Bron 1Bron 2Bron 3
Voor welke omgeving is dit relevant?
Het gaat om CVE-2026-97229 in GitLab Community Edition en Enterprise Edition. Het oorspronkelijke kwetsbaarheidsrecord beschrijft code-uitvoering zonder inloggen onder specifieke voorwaarden in de verwerking van CI/CD-configuraties. CISA nam het lek op 29 oktober op in zijn catalogus van daadwerkelijk misbruikte kwetsbaarheden. Dit is dus meer dan een theoretisch risico.Bron 1Bron 2
Begin daarom bij een inventarisatie, niet bij een algemene aanname over je website. Vraag je ontwikkelaar of hostingbeheerder of er een zelfbeheerde GitLab-omgeving wordt gebruikt, wie die onderhoudt en hoe zij is geïnstalleerd. Neem een eigen containerimage apart mee in dat gesprek en vraag welke onderhoudsafspraken daarvoor gelden.Bron 1Bron 2
Wat de Alpine-berichtgeving wel en niet bewijst
Volgens het bericht van 1 november betroffen de aanvalspogingen 20 en 21 oktober. Alpine vond geen bewijs van geslaagde code-uitvoering of aangepaste softwarepakketten, maar kon een compromis door ontbrekende loggegevens niet uitsluiten. De omgeving werd daarom herbouwd. Dat is geen bevestiging dat Alpine-pakketten besmet zijn, en ook geen bewijs dat iedere gebruiker getroffen is.Bron 1
BleepingComputer meldt daarnaast dat bij Alpines maatwerkimage een benodigde Ruby-fix niet met een GitLab-update meekwam. Gebruik dat als waarschuwing om afhankelijkheden te laten controleren, niet als zelfstandig herstelvoorschrift. Dit artikel geeft geen installatie-instructies voor die specifieke image en stelt niet vast dat jouw omgeving dezelfde samenstelling heeft.Bron 1
Welke update moet je laten controleren?
Het oorspronkelijke GitLab-record noemt voor dit specifieke lek de fixes 19.2.8, 19.3.5 en 19.4.2. Laat de beheerder de actuele instructies voor jouw installatie en ondersteunde versietak controleren. Deze nummers zijn geen algemene veiligheidsverklaring. Vraag expliciet welke controle voor jouw installatieroute aantoont dat de bedoelde wijzigingen werkelijk zijn meegenomen, in plaats van alleen een applicatielabel af te vinken.Bron 1Bron 2
Vijf vragen voor je beheerder
- Wie is verantwoordelijk voor onderhoud van iedere GitLab-omgeving, en welk pakket of welke image is er werkelijk uitgerold? Leg de antwoorden per omgeving vast.
- Welke actuele bron bevestigt de benodigde fix voor deze installatiemethode? Vraag ook hoe de relevante onderliggende afhankelijkheden zijn meegenomen, in plaats van alleen een versienummer te noteren.
- Welke loggegevens zijn beschikbaar om de periode vóór het patchen te onderzoeken? Leg ontbrekende gegevens als beperking vast. Bij onvolledige logs sluit het ontbreken van aanwijzingen een compromis niet uit.
- Wie beoordeelt eventuele aanwijzingen voor compromittering, en wie beslist dan over herstel en het wijzigen van toegangsgegevens? Spreek rollen af voordat er op basis van aannames wordt gehandeld.
- Hoe wordt na het onderhoud gecontroleerd of de bedoelde wijziging actief is en de belangrijkste functies nog werken? Vraag om een vastgelegde controle, niet alleen een updatebevestiging.
Onderhoud is niet hetzelfde als incidentonderzoek
CISA adviseert organisaties het herstel van bekende misbruikte kwetsbaarheden op risico te prioriteren. Combineer daarom de patchvraag met de vraag wat er vóór de update kan zijn gebeurd. Leg beide vragen afzonderlijk bij de verantwoordelijke beheerder neer. Bij concrete aanwijzingen voor misbruik is een passende beoordeling nodig; een geslaagde installatie alleen beantwoordt die tweede vraag niet.Bron 1Bron 2
Bronnen
- CISA says max severity GitLab flaw now exploited in the wild
- CISA Adds Two Known Exploited Vulnerabilities to Catalog | CISA
- cvelistV5/cves/2026/97xxx/CVE-2026-97229.json at main · CVEProject/cvelistV5 · GitHub
- Alpine Linux rebuilds GitLab after attempted RCE attack
Hulp nodig met de beveiliging van je website?
Geerman Web Solutions helpt je hosting en software te controleren, noodzakelijke updates uit te voeren en de belangrijkste functies na de uitrol te testen.