Allarme sicurezza: vulnerabilità critiche in GitLab consentono l’esecuzione di codice

Gli sviluppatori di GitLab hanno rilasciato patch di emergenza per una vulnerabilità critica CVE-2026-97229, che permetteva l'esecuzione di codice arbitrario lato server senza autenticazione. La falla, valutata 10 su 10 nella scala CVSS, riguarda GitLab Community Edition e Enterprise Edition. Le versioni interessate sono 19.2 fino a 19.2.8, 19.3 fino a 19.3.5 e 19.4 fino a 19.4.2. Le correzioni sono incluse nelle versioni 19.4.2, 19.3.5 e 19.2.8.

Gli sviluppatori di GitLab hanno rilasciato patch di emergenza per una vulnerabilità critica CVE-2026-97229, che permetteva l’esecuzione di codice arbitrario lato server senza autenticazione. Il problema riguarda GitLab Community Edition (CE) e Enterprise Edition (EE) e ha ricevuto la valutazione massima nella scala CVSS — 10 su 10.

La vulnerabilità è legata a un overflow di interi nel compilatore di espressioni regolari CI/CD (Regular Expression Compiler), un componente che gestisce le espressioni regolari nelle configurazioni dei pipeline CI/CD.

A causa di un controllo errato delle espressioni regolari, in determinate condizioni un attaccante poteva inserire un’espressione regolare appositamente preparata nella configurazione CI/CD e ottenere l’esecuzione di codice arbitrario sul server GitLab. Inoltre, all’attaccante non era richiesta l’autenticazione.

Secondo il bollettino di sicurezza ufficiale, la vulnerabilità interessa le seguenti versioni di GitLab CE e EE:

• 19.2 — fino a 19.2.8;
• 19.3 — fino a 19.3.5;
• 19.4 — fino a 19.4.2.

Le correzioni sono state incluse nelle versioni 19.4.2, 19.3.5 e 19.2.8, e ora gli sviluppatori raccomandano vivamente agli amministratori di installare gli aggiornamenti il prima possibile. Si sottolinea inoltre che il servizio cloud GitLab.com utilizza già la versione corretta, e i clienti di GitLab Dedicated non devono intraprendere alcuna azione.

Oltre a CVE-2026-97229, gli aggiornamenti rilasciati hanno risolto diverse altre vulnerabilità, tra cui tre gravi:

• CVE-2026-92883 (8,7 punti nella scala CVSS) — un bug XSS che permetteva a un attaccante autorizzato di eseguire JavaScript arbitrario nei browser di altri utenti tramite un repository appositamente preparato.
• CVE-2026-16301 (8,5 punti nella scala CVSS) — un controllo errato dei permessi che consentiva a un utente con ruolo Developer di eseguire pipeline CI/CD in rami protetti senza i permessi appropriati.
• CVE-2026-14814 (8,2 punti nella scala CVSS) — un errore nella gestione delle espressioni regolari che permetteva a un attaccante di sostituire le risposte memorizzate nella cache quando si accedeva ai file del repository. Di conseguenza, i pipeline CI/CD di altri utenti potevano eseguire il codice preparato dall’attaccante, con il potenziale rischio di divulgazione di variabili d’ambiente protette.

Ricordiamo che a settembre 2026 gli sviluppatori di GitLab hanno risolto un’altra vulnerabilità critica — CVE-2026-85706, che ha ricevuto anch’essa la valutazione massima di 10 punti nella scala CVSS. Questo problema permetteva agli attaccanti di leggere dati arbitrari dai server senza autenticazione, inclusi password e altri segreti. Poco dopo la divulgazione delle informazioni sulla vulnerabilità, gli specialisti della sicurezza hanno registrato tentativi di sfruttamento.

Luigi Zullo

Ricercatore di sicurezza informatica con esperienza nell’analisi delle vulnerabilità, nella mitigazione del rischio cyber, nelle attività di red teaming ed ethical hacking e nella protezione di sistemi complessi. Specializzato in penetration testing e Threat Intelligence, contribuisce al rafforzamento della resilienza digitale di infrastrutture e reti aziendali.

Aree di competenza: Penetration Testing, Threat Intelligence, Red Teaming, Vulnerability Assessment, Incident Response