GitLab dicht twee ernstige lekken in de GraphQL‑laag van GitLab CE en EE. In het eerste geval kon een aanvaller zonder account via een specifieke GraphQL‑directive onder bepaalde voorwaarden ongeautoriseerde wijzigingen of zelfs verwijderingen uitvoeren in openbare projecten en gebruikersdata. Het tweede probleem zat in de afhandeling van zogeheten multiplex‑queries: door onjuiste validatie konden mutaties via GET‑requests worden uitgevoerd, waardoor de staat van de server ongemerkt kon veranderen. Beide issues zijn nu door GitLab verholpen. (docs.gitlab.com)

Wat is er precies gefixt

• CVE‑2026‑19478 (CVSS 9.4, kritisch): code‑injectie via een GraphQL‑directive, met potentieel verwijderen of aanpassen van data in openbare projecten. (docs.gitlab.com)
• CVE‑2026‑19650 (CVSS 7.1, hoog): CSRF in de multiplex‑handler waardoor niet‑geauthenticeerde mutaties via GET mogelijk waren. (docs.gitlab.com)

Beschikbare updates en versies
GitLab bracht op 17 augustus 2026 een out‑of‑band critical patch uit. De fixes zitten in 19.2.4, 19.1.6, 19.0.8 en 18.11.11. Installaties lager dan deze versies vallen binnen het risicobereik. GitLab.com en GitLab Dedicated draaien al op de gepatchte release; actie is dus vooral nodig voor self‑managed omgevingen. (docs.gitlab.com)

Risico en urgentie
Omdat het om niet‑geauthenticeerde aanvallen gaat en openbare projecten standaard benaderbaar zijn, is de drempel laag. Daar komt bij dat er inmiddels publiek PoC‑materiaal circuleert op GitHub, wat de kans op actief misbruik vergroot. Het NCSC benadrukt daarom om de updates zo snel mogelijk te installeren. (github.com)

Ben je kwetsbaar?

• Draai je een self‑managed GitLab‑instantie op een versie ouder dan 19.2.4, 19.1.6, 19.0.8 of 18.11.11? Dan ben je geraakt en moet je patchen. (docs.gitlab.com)
• Gebruik je GitLab.com of GitLab Dedicated? Dan is er niets te doen: die zijn al bijgewerkt. (docs.gitlab.com)

Aanbevolen acties

• Update direct naar een van de gepatchte versies. Er zijn geen nieuwe migraties nodig en op multi‑node omgevingen is geen downtime te verwachten. (docs.gitlab.com)
• Kun je niet meteen patchen? Beperk tijdelijk de toegang tot de GraphQL‑endpoint (/api/graphql) voor anonieme bezoekers via je reverse proxy of WAF, en monitor strak op afwijkend verkeer. (Achtergrond over multiplex en GraphQL‑gedrag vind je in de GitLab‑documentatie.) (docs.gitlab.com)
• Controleer logbestanden op verdachte patronen: ongebruikelijke GraphQL‑mutaties zonder authenticatie, of GET‑requests die onderdeel zijn van multiplex‑batches met mutaties. (Dit sluit aan bij het tweede lek in de multiplex‑validatie.) (docs.gitlab.com)
• Inventariseer openbare projecten en gebruikersprofielen die via GraphQL publiek benaderbaar zijn, en beoordeel of aanvullende toegangsbeperkingen wenselijk zijn tot na de update. (ncsc.nl)

Korte tijdlijn en context

• 17 augustus 2026: GitLab publiceert de critical patch releases met fixes voor CVE‑2026‑19478 en CVE‑2026‑19650. (docs.gitlab.com)
• 18 augustus 2026: NCSC publiceert een alert en adviseert om “zo snel mogelijk te updaten.” (ncsc.nl)
• Sinds afgelopen dagen: er staat publieke proof‑of‑concept code online, waardoor het dreigingsniveau stijgt. Patchen heeft nu de hoogste prioriteit. (github.com)

Bottom line
Werk je met een self‑managed GitLab‑server? Update vandaag nog. De combinatie van een kritieke, niet‑geauthenticeerde GraphQL‑kwetsbaarheid en openbaar beschikbare PoC‑code maakt uitstel ronduit risicovol. (docs.gitlab.com)

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.