GitLab, è allarme rosso: il bug da 10/10 permette agli hacker di rubare file senza password

Gli ingegneri di GitLab hanno rilasciato patch per una vulnerabilità critica CVE-2026-85706, con punteggio massimo 10 su CVSS, che permette a un attaccante non autenticato di leggere file arbitrari sul server. La vulnerabilità, di tipo path traversal, riguarda GitLab CE e EE, versioni 18.7-19.1.7, 19.2-19.2.5 e 19.3-19.3.1. Gli esperti avvertono di tentativi di sfruttamento già in corso.

Gli ingegneri di GitLab hanno rilasciato patch per una vulnerabilità critica monitorata con il codice CVE-2026-85706, che ha ottenuto il punteggio massimo di 10 sulla scala CVSS e consente a un attaccante non autenticato di leggere file arbitrari sul server. Gli esperti di sicurezza informatica avvertono che poco dopo la divulgazione delle informazioni sulla vulnerabilità, i malintenzionati hanno iniziato a tentare di sfruttarla.

Il CVE-2026-85706 è una vulnerabilità di tipo path traversal nell’API dei commit del repository. GitLab spiega che il problema è legato a limitazioni di percorso non corrette e all’assenza di verifica dell’autenticazione.

La problematica riguarda GitLab Community Edition (CE) e Enterprise Edition (EE): tutte le versioni a partire dalla 18.7 fino alla 19.1.7 inclusa, nonché le versioni 19.2–19.2.5 e 19.3–19.3.1.

Per sfruttare il nuovo bug, all’attaccante non servono credenziali. Secondo i dati dell’azienda watchTowr, è sufficiente che sull’istanza vulnerabile esista almeno un progetto pubblico.

In caso di attacco riuscito, l’hacker potrà leggere i log e i file di configurazione di GitLab, che potrebbero contenere credenziali, token, segreti e altre informazioni riservate.

Gli esperti segnalano tentativi di scansione di server vulnerabili a partire dall’11 settembre 2026, con i primi tentativi di sfruttamento iniziati poche ore dopo la divulgazione pubblica del bug.

Secondo gli esperti, il passaggio a uno sfruttamento su larga scala della vulnerabilità potrebbe avvenire molto rapidamente.

Va notato che insieme alla patch per CVE-2026-85706, gli sviluppatori hanno rilasciato correzioni per un’altra problematica critica — il CVE-2026-87719, che ha ottenuto 9,9 punti sulla scala CVSS.

Questo bug riguarda solo GitLab EE ed è legato a una deserializzazione non sicura nel gestore delle sottoscrizioni GraphQL. Un utente autenticato con accesso a Duo Chat può ottenere le impostazioni di Advanced Search e le credenziali utilizzando un argomento appositamente preparato.

Entrambe le vulnerabilità sono state risolte in GitLab 19.3.2, 19.2.6 e 19.1.8. Si sottolinea inoltre che GitLab.com funziona già con la versione corretta e che agli utenti di GitLab Dedicated non sono richieste ulteriori azioni.

Si consiglia agli amministratori degli istanzi self-managed, soprattutto quelli accessibili da Internet, di installare le patch il prima possibile. Se l’aggiornamento non è attualmente possibile, è opportuno limitare l’accesso pubblico all’istanza e verificare i log per eventuali POST richieste sospette a /api/v4/projects/{id}/repository/commits/ con i parametri file.path, che potrebbero indicare tentativi di sfruttamento.

Luigi Zullo

Ricercatore di sicurezza informatica con esperienza nell’analisi delle vulnerabilità, nella mitigazione del rischio cyber, nelle attività di red teaming ed ethical hacking e nella protezione di sistemi complessi. Specializzato in penetration testing e Threat Intelligence, contribuisce al rafforzamento della resilienza digitale di infrastrutture e reti aziendali.

Aree di competenza: Penetration Testing, Threat Intelligence, Red Teaming, Vulnerability Assessment, Incident Response