Railway laat secrets roteren tijdens deploystop; GitLab dicht kritieke RCE

Railway-gebruikers moeten alle daar opgeslagen secrets roteren, maar kunnen tijdens het onderzoek niet uitrollen. Tegelijk vraagt GitLabs kritieke patch om een snelle upgrade van self-managed instances. Voor agentbouwers verschijnt Omnara als self-hosted, duurzaam platform; daarnaast is er een concrete maar nog niet upstream-bevestigde waarschuwing over Postgres-replicatie.

Railway: roteer secrets, maar deployments staan stil

Railway meldt anomalieën in systemen die klant-omgevingsvariabelen opslaan. Volgens het bedrijf heeft een onbevoegde derde mogelijk versleutelde variabelen geraadpleegd en bij een deel daarvan de ontsleutelde inhoud verkregen. Het gaat dus mogelijk om API-sleutels, database- en registry-credentials; Railway zegt nog te onderzoeken welke accounts precies geraakt zijn.

De leverancier adviseert alle in Railway opgeslagen omgevingsvariabelen en private-registrycredentials onmiddellijk te roteren en logs op ongebruikelijke activiteit te controleren. Tegelijk zijn deployments gepauzeerd, waardoor nieuwe versies niet kunnen worden uitgerold totdat builds weer beschikbaar zijn. Dat maakt de volgorde belangrijk: inventariseer afhankelijkheden en herstelpad vóór je secrets vervangt, en volg de incidentcommunicatie voor het moment waarop een gewijzigde configuratie weer kan landen.

In de HN-discussie melden individuele gebruikers dat de combinatie van sleutelrotatie en deploystop hun dienst tijdelijk onbereikbaar maakte. Dat bevestigt geen bredere impact of misbruik van credentials, maar onderstreept wel de operationele ruil tussen snelle rotatie en beschikbaarheid. Railways securitymelding · HN-discussie

GitLab patcht ongeauthenticeerde RCE met CVSS 10.0

GitLab heeft patchreleases 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 en 18.11.13 uitgebracht voor CE en EE. De urgentste fix is CVE-2026-110264: een integer-overflow in de regular-expressioncompiler die volgens GitLab onder bepaalde omstandigheden een niet-geauthenticeerde gebruiker code op de GitLab-server kon laten uitvoeren. GitLab classificeert die fout als CVSS 10.0.

De advisory noemt daarnaast een high-severity overnamepad wanneer OmniAuth SAML én LDAP auto-linking aanstaan, en een high-severity cache-poisoningprobleem in OAuth/OIDC-discovery-endpoints. GitLab.com draait volgens de leverancier al de gepatchte versie; self-managed installaties moeten naar de laatste patch van hun ondersteunde lijn. De kritieke fout raakt volgens de versie-matrix ook veel oudere reeksen, vanaf GitLab 7.0.

Maak dit een versnelde maar gecontroleerde upgrade: bepaal de draaiende versie, update naar de passende patch, en gebruik de twee door GitLab aangeboden detecties voor een Onigmo-workercrash en opvallende .org-renderfouten om logs na te lopen. De exacte aanvalsketen blijft deels onder embargo; dat is geen reden om op een publieke exploit te wachten. GitLabs advisory met versies, CVE’s en detecties · HN-discussie

Omnara maakt een agentloop duurzaam en self-hostable

Omnara is een nieuw Apache-2.0-platform voor agents dat je zelf kunt draaien. De kern is een eventlog in Postgres: elke stap van een agent wordt vastgelegd, zodat stateless workers werk na een crash, restart of machine-disconnect kunnen hervatten. Een worker is alleen bezet tijdens een beurt; de maker positioneert dat als manier om veel wachtende of langlopende agents te multiplexen.

Het platform koppelt modelproviders, tools, MCP-servers, sandboxen en eigen macOS- of Linuxmachines. De lokale daemon opent zelf een uitgaande verbinding, zodat voor zo’n machine geen inkomende poort of SSH-sleutel nodig zou zijn. Per tool kan de beheerder directe uitvoering, menselijke goedkeuring of blokkade instellen. Dat is interessant voor teams die een agent niet alleen in een terminal willen laten draaien, maar als service vanuit een API, scheduler, Slack, Discord of GitHub willen starten.

Duurzaamheid van de agentloop is nadrukkelijk niet hetzelfde als veilige uitvoering. De documentatie zegt dat de standaardinstellingen voor een echte self-hosted deployment bewust onveilig zijn. Behandel de installatie daarom als een regulier platform: scheid secrets, beperk welke machines en tools een project mag gebruiken, test approvals en herstel na uitval, en bepaal wie de Postgres-eventlog mag lezen. Omnara: architectuur en self-hosting · HN-discussie

Postgres-rapport: recovery_prefetch kan een synchrone replica vastzetten

Een praktijkverslag beschrijft een risicovol samenspel van recovery_prefetch, full-page writes en synchrone replicatie. Volgens de auteur kan prefetch op een standby sequentiële I/O omzetten in veel 8KB-random reads en daarmee de IOPS-vraag tot zestien keer verhogen. Als een netwerkhapering tegelijk streamingreplicatie onderbreekt, kan de standby achterop raken; omdat de primaire server bij synchrone replicatie op een gezonde standby wacht, kunnen writes vervolgens langdurig blokkeren.

De auteur levert een reproduceerrecept met een kleine, IOPS-begrensde standby en ziet in die opstelling meer dan een halfuur write-stilstand. Met recovery_prefetch uit bleef de standby volgens die proef bij; full-page writes bleven aan. Hij pleit daarom voorlopig voor uitschakelen, maar dit is een veldrapport en geen upstream-securityadvies of bewezen algemene regressie.

Voor teams met synchrone Postgres-replicatie is het desalniettemin een gerichte test waard: meet replay lag, read-IOPS en commitlatency tijdens een WAL-piek en een gecontroleerde walreceiveronderbreking. Evalueer ook een tweede standby met quorumcommit (ANY 1), zodat één trage replica niet de enige beschikbaarheidsgrens is. Wijzig de prefetch-instelling pas na een test op representatieve storage en herstelgedrag. Analyse en reproduceeropzet · HN-discussie

Verder nog

• Firefox Local Mode: Firefox 153 kan lokale mappen via zelf gekozen https://-origins aanbieden zolang DevTools openstaat. Dat is handig om secure-context-Web-API’s en origin-afhankelijke opslag zonder aparte HTTP-server te testen. De mappings zijn alleen in Firefox bereikbaar en verdwijnen bij een tijdelijke mapping zodra DevTools of Firefox sluit. Mozilla-documentatie · Lobsters-discussie
• ZLS 0.17.0: de Zig Language Server herstelt na Zig 0.17 delen van de door het nieuwe buildprotocol gebroken buildintegratie. Er blijven regressies rond imports in build.zig, bepaalde geëxporteerde modules en Windows file watching; test editordiagnostiek daarom vóór een brede toolchainupgrade. Release notes · Lobsters-discussie