GitLab dicht meerdere kwetsbaarheden in CE/EE: update nu
Op 8 juli 2026 heeft GitLab patchreleases 19.1.2, 19.0.4 en 18.11.7 uitgebracht. Deze updates verhelpen diverse beveiligingsproblemen en worden met klem aangeraden voor alle zelfbeheerde installaties. GitLab.com draait al op de gepatchte versie; klanten van GitLab Dedicated hoeven niets te doen. (docs.gitlab.com)

Wat is er gerepareerd?

• Mismatch tussen wat je in de webinterface ziet en wat je downloadt, door onjuiste afhandeling van Git-referentienamen (CVE-2025-12506).
• Onvoldoende autorisatie in GraphQL-operaties waardoor auditors compliance violation-records konden aanpassen (CVE-2026-6352).
• XSS-risico’s, onder meer via de renderer van vulnerability-evidence (developer-rechten) en HTML-injectie in wiki-markup (CVE-2026-6896, CVE-2026-13320).
• Onbevoegde detectie van private projecten via cross‑project reference-pagina’s (CVE-2026-7492).
• Omzeilen van autorisatie waardoor gebruikers met minimale toegang metadata van work items in private projecten konden inzien (CVE-2026-8472).
• Maintainers konden onder omstandigheden opgeslagen credentials van anderen benaderen via repository mirroring (CVE-2026-11827).
• Onjuiste autorisatie op groepsniveau, waardoor groepsinstellingen ongewenst aangepast konden worden (CVE-2026-13151). (docs.gitlab.com)

Wie is geraakt?
De exacte ondergrens verschilt per issue, maar in de praktijk geldt: draai je een versie vóór 18.11.7 (18.x), 19.0.4 (19.0) of 19.1.2 (19.1), dan loop je risico en moet je upgraden. De bijbehorende CVE’s en impactranges zijn door GitLab gedocumenteerd. (docs.gitlab.com)

Waarom dit nu belangrijk is
De fixes raken toegangscontrole, gegevensintegriteit en browserbeveiliging: precies de pijlers waarop je software supply chain leunt. Nationale CERT’s verwijzen inmiddels ook naar deze patchreleases—een signaal dat snelle actie verstandig is. (cyber.gc.ca)

Wat kun je het beste doen?

• Check je huidige versie en update direct naar 19.1.2, 19.0.4 of 18.11.7 (afhankelijk van je minorversie).
• Plan upgrades desnoods in twee stappen, zodat je binnen je huidige minor op het nieuwste patchniveau komt.
• Herzie machtigingen: minimaliseer “Maintainer”-rechten, controleer auditor- en developer-rollen en zet logging/auditing strak.
• Scan je projecten opnieuw (SAST/DAST/Secret Detection) en monitor releases/tags extra scherp, zeker als je archieven of assets publiceert.
• Controleer repository mirroring-instellingen en roteer tokens of opgeslagen credentials wanneer nodig. (docs.gitlab.com)

Handig om te weten
GitLab bundelt beveiligings- en bugfixes in reguliere patchreleases op vaste momenten, zodat je voorspelbaar kunt plannen. Kwetsbaarheidsissues worden na 90 dagen openbaar in de issue tracker—nog een reden om niet te wachten met upgraden. (docs.gitlab.com)

Kortom: zet je omgeving zo snel mogelijk op het nieuwste patchniveau en pak meteen je rol- en rechtenmodel mee. Dat verkleint de kans op misbruik én houdt je supply chain schoon. (docs.gitlab.com)

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.