GitLab CVE-2026-97229: CVSS 10.0 in de CI/CD-regex-compiler

Sun, 18 Oct 2026 21:34:50 +0200

Op 12 oktober 2026 heeft GitLab patchreleases 19.4.2, 19.3.5 en 19.2.8 uitgebracht. Daarin zit CVE-2026-97229, een integer overflow in de reguliere-expressiecompiler die GitLab voor CI/CD-configuratie gebruikt. GitLab geeft de kwetsbaarheid CVSS 10.0. Een dag later publiceerde Rapid7 technische details en een proof-of-concept. Het NCSC schaalt de schade als hoog en wijst op indicaties dat misbruik mogelijk is.

Voor wie een self-managed GitLab beheert is dit geen kwetsbaarheid om op de volgende patchronde te laten liggen. In dit artikel zet ik op een rij wat er feitelijk bekend is, waar de bronnen elkaar nuanceren, en hoe je binnen een uur weet of je geraakt kunt worden. Ik beschrijf geen exploit; het gaat om beoordelen, patchen en controleren.

GitLab on mpeeters.nl

GitLab CVE-2026-97229: CVSS 10.0 in de CI/CD-regex-compiler