10 punti di score per 10 anni nel codice! GitLab fixa una RCE pre-auth molto pericolosa

GitLab ha chiuso una grave vulnerabilità RCE senza autenticazione, valutata 10,0 secondo CVSS 3.1, presente da oltre dieci anni. La falla, identificata come CVE-2026-110264, interessava tutte le versioni da 7.0 a 18.11.13 e i rami 19.0-19.5. Il 21 ottobre, GitLab ha rilasciato correzioni di emergenza per Community Edition e Enterprise Edition. La vulnerabilità permetteva di eseguire codice arbitrario da remoto senza account utente.

Un errore presente da oltre dieci anni permetteva di trasformare GitLab in un punto di ingresso sul server senza password. Il 21 ottobre gli sviluppatori hanno rilasciato correzioni di emergenza per Community Edition e Enterprise Edition, chiudendo CVE-2026-110264. La vulnerabilità ha ottenuto il punteggio massimo di 10,0 secondo CVSS 3.1 e interessava le versioni a partire da GitLab 7.0, rilasciata nel 2014.

GitLab ha confermato che, in determinate condizioni, un attaccante poteva eseguire codice arbitrario da remoto senza account utente e senza interazione dell’utente. La causa risiede in un integer overflow durante la compilazione di un’espressione regolare appositamente formattata. L’errore è legato al motore Onigmo, utilizzato in Ruby per la ricerca e l’elaborazione del testo.

Le espressioni regolari aiutano i programmi a trovare testo in base a un modello specificato. In questo caso, un numero eccessivo di ripetizioni poteva far traboccare il contatore interno e compromettere la gestione della memoria. La correzione costringe il compilatore a rifiutare tali modelli. Dalle regole di rilevamento pubblicate da GitLab è evidente che uno dei percorsi di attacco è legato all’elaborazione di file nel formato .org.

L’entità del problema si è rivelata insolita anche per errori critici. Sono risultate vulnerabili tutte le build dalla 7.0 alla 18.11.13, escluso il rilascio corretto, nonché i rami 19.0–19.5 fino ai corrispondenti patch di ottobre. Per le installazioni più vecchie senza ramo supportato sarà necessario passare a una versione più recente, poiché non esiste una correzione separata per ogni versione precedente.

Le correzioni hanno interessato le versioni 18.11.13, 19.0.10, 19.1.9, 19.2.9, 19.3.6, 19.4.3 e 19.5.1. GitLab raccomanda vivamente di aggiornare i propri server. GitLab.com funziona già con il patch, mentre i clienti GitLab Dedicated sui rilasci interni indicati dall’azienda non necessitano di ulteriori aggiornamenti. Per i sistemi ospitati autonomamente, il rischio persiste fino all’installazione della correzione.

Nove giorni prima del rilascio attuale, GitLab aveva già chiuso una RCE nell’elaborazione delle espressioni regolari CI/CD. Quel problema ha ricevuto l’identificatore CVE-2026-97229 e un punteggio di 10,0 secondo CVSS 3.1, ma interessava solo le versioni più recenti. Si tratta di due vulnerabilità diverse, non di una ridenominazione di una singola CVE. I patch del 12 ottobre non proteggono da questo nuovo errore.

Il team “CyberOK” ha dichiarato di aver verificato la possibilità di sfruttare CVE-2026-110264. Tuttavia, al 22 ottobre non sono stati trovati exploit pubblici funzionanti né casi confermati di utilizzo in attacchi reali. GitLab ha pubblicato due regole di rilevamento. La prima monitora i crash dei processi Onigmo, la seconda identificava una serie di errori durante la visualizzazione dei file .org.

Si consiglia agli amministratori di installare immediatamente la versione corretta appropriata. 

Luigi Zullo

Ricercatore di sicurezza informatica con esperienza nell’analisi delle vulnerabilità, nella mitigazione del rischio cyber, nelle attività di red teaming ed ethical hacking e nella protezione di sistemi complessi. Specializzato in penetration testing e Threat Intelligence, contribuisce al rafforzamento della resilienza digitale di infrastrutture e reti aziendali.

Aree di competenza: Penetration Testing, Threat Intelligence, Red Teaming, Vulnerability Assessment, Incident Response