Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime, Analisi Vulnerabilità e Intelligenza Artificiale
GitLab ha distribuito aggiornamenti urgenti per correggere la vulnerabilità critica CVE-2026-19478 (CVSS 9.4), che consentiva a un attaccante non autenticato di modificare o eliminare repository pubblici e dati utente tramite GraphQL. Coinvolte numerose versioni di Community Edition ed Enterprise Edition. Corretta anche la CVE-2026-19650: gli amministratori di istanze self-managed devono aggiornare immediatamente.
Gli sviluppatori GitLab hanno rilasciato patch urgenti per Community Edition (CE) ed Enterprise Edition (EE), eliminando la vulnerabilità critica CVE-2026-19478 (9,4 punti sulla scala CVSS). Questo bug consentiva a un utente malintenzionato non autenticato, in determinate condizioni, di modificare o eliminare da remoto progetti pubblici, nonché dati utente.
Come spiega GitLab, la vulnerabilità era associata a una delle direttive GraphQL, ma il suo nome e le esatte condizioni necessarie per uno sfruttamento riuscito non sono ancora state divulgate. Ma è noto che l’attacco poteva essere effettuato da remoto e per sfruttare il bug non erano necessarie né credenziali né azioni da parte della vittima.
CVE-2026-19478 sembra influenzare tutte le versioni di GitLab dalla 18.2 alla 11.18.11, il ramo 19.0 alla 19.0.8, dal 19.1 al 19.1.6 e dal 19.2 al 19.2.4. Le correzioni sono incluse in GitLab 19.2.4, 19.1.6, 19.0.8 e 18.11.11.
Solo gli operatori di istanze autogestite devono installare gli aggiornamenti e GitLab consiglia vivamente agli amministratori di eseguire l’aggiornamento a una delle versioni il prima possibile. Tuttavia, GitLab.com e GitLab Dedicated sono già stati aggiornati alle versioni corrette e i loro utenti non devono intraprendere alcuna azione aggiuntiva.
Gli sviluppatori hanno risolto anche un’altra vulnerabilità GraphQL: CVE-2026-19650, che ha ricevuto un punteggio CVSS di 7,1.
Questo bug CSRF è stato scoperto nel gestore di richieste multiplex GraphQL. A causa di una convalida errata della richiesta, un utente malintenzionato non autenticato potrebbe, in determinate condizioni, eseguire mutazioni GraphQL tramite richieste GET. Tuttavia, a differenza di CVE-2026-19478, questo problema richiedeva lo sfruttamento dell’interazione dell’utente.
Entrambe le vulnerabilità sono state scoperte come parte del programma bug bounty di GitLab su HackerOne e i dettagli tecnici su di esse saranno disponibili in un secondo momento. In genere, gli sviluppatori GitLab pubblicano ticket relativi ai bug 90 giorni dopo il rilascio delle correzioni, quindi una descrizione dettagliata delle vulnerabilità verrà resa pubblica intorno a metà novembre 2026.
Betti RHC, la prima graphic novel al mondo dedicata alla cybersecurity awareness, ha finalmente il suo sito ufficiale. Uno spazio tutto suo dove scoprire il progetto, sfogliare le copertine degli episodi e immergersi nel mondo di Betti: la giovane laureanda in informatica che, dopo la morte misteriosa del padre, si trasforma nell'hacker più potente del mondo. Una storia avvincente che, episodio dopo episodio, affronta una minaccia digitale diversa — dal phishing al ransomware, fino al cyberbullismo — e insegna a riconoscerla e a difendersi, senza che sembri mai una lezione.
Sul sito trovate tutto ciò che rende Betti un progetto diverso dal solito: la sua filosofia, le anteprime delle tavole e il racconto di come nasce ogni volume. Perché dietro Betti RHC c'è solo lavoro umano: ogni tavola è disegnata interamente a mano dagli artisti del Gruppo Arte di Red Hot Cyber, senza alcun uso di intelligenza artificiale. E a garantire che ogni storia sia realistica e tecnicamente corretta c'è la supervisione degli hacker etici del gruppo HackerHood, che mantengono il racconto fedele al mondo reale della sicurezza informatica.
C'è spazio anche per le aziende, che possono usare Betti come strumento di awareness diverso dai soliti corsi: acquistare i volumi, personalizzarli con il proprio brand o sponsorizzare nuovi episodi. E come primo regalo, l'episodio "Byte the Silence", dedicato al cyberbullismo, è scaricabile gratuitamente per uso personale.
Perché la miglior difesa, in fondo, è una bella storia. 👉 Scopri tutto su https://betti.redhotcyber.com/