GitLab ha rilasciato aggiornamenti di sicurezza per le edizioni Community (CE) ed Enterprise (EE) che correggono una vulnerabilità di gravità massima, in grado, a determinate condizioni, di consentire a un utente non autenticato l’esecuzione di codice arbitrario sul server. La falla, identificata come CVE-2026-97229 e valutata con punteggio CVSS 10.0, rappresenta uno di quei casi in cui la distanza tra presenza dell’installazione e compromissione del sistema si riduce a un singolo aggiornamento non applicato. Per le organizzazioni che ospitano GitLab in proprio, la notizia va trattata come un intervento urgente, non come ordinaria manutenzione.
Che cosa è successo
Secondo l’avviso ufficiale, il problema nasce da una validazione insufficiente delle espressioni regolari nelle configurazioni CI/CD: una regular expression costruita ad arte, inserita in una pipeline, poteva innescare un integer overflow e aprire la strada all’esecuzione di codice sul server che ospita l’istanza. Sono interessate tutte le versioni dalla 19.2 precedente la 19.2.8, dalla 19.3 precedente la 19.3.5 e dalla 19.4 precedente la 19.4.2. Le versioni corrette — 19.4.2, 19.3.5 e 19.2.8 — sono già disponibili e GitLab ne raccomanda l’installazione immediata su ogni distribuzione self-hosted.
Le altre vulnerabilità corrette nella stessa release
La stessa tornata di patch chiude altre tre falle di gravità alta. CVE-2026-92883 (CVSS 8.7) è un cross-site scripting che potrebbe consentire a un utente autenticato di eseguire JavaScript nel browser di altri utenti tramite un repository appositamente preparato. CVE-2026-16301 (CVSS 8.5) riguarda un’autorizzazione impropria nel servizio di creazione delle pipeline a valle: un utente con ruolo Developer potrebbe eseguire pipeline CI/CD su branch protetti. CVE-2026-14814 (CVSS 8.2), infine, è una regular expression troppo permissiva che potrebbe avvelenare le risposte in cache dei file grezzi di un repository, spingendo le pipeline di utenti mirati a eseguire contenuti preparati dall’attaccante e potenzialmente esponendo variabili d’ambiente protette.
Perché le pipeline sono un bersaglio critico
Un server GitLab compromesso non è un semplice guasto informatico: è potenzialmente la chiave d’accesso all’intera filiera del software aziendale. Nelle pipeline CI/CD transitano codice sorgente, credenziali di deploy, token di accesso ai registri dei pacchetti e segreti d’ambiente. Chi ottiene esecuzione di codice sul server può intercettare o alterare ciò che verrà distribuito in produzione, trasformando un singolo sistema dimenticato in un vettore di attacco alla supply chain. Il contesto rende il quadro ancora più sensibile: poche settimane fa GitLab aveva corretto un’altra falla critica in AI Gateway (CVE-2026-90970, CVSS 9.9), e a settembre una vulnerabilità da CVSS 10.0 era stata sondata in rete a poche ore dalla divulgazione.
Cosa fare adesso
Le azioni consigliate sono semplici da elencare e inderogabili nei tempi: verificare la versione di ogni istanza self-hosted presente in azienda, incluse quelle di test o dimenticate; aggiornare subito a 19.4.2, 19.3.5 o 19.2.8 a seconda del ramo in uso; dopo l’aggiornamento, rivedere i log e le configurazioni di pipeline alla ricerca di espressioni regolari o progetti sospetti; ruotare, in via precauzionale, i segreti custoditi nelle variabili CI/CD se l’istanza risultava esposta e non aggiornata da tempo. Chi fornisce servizi gestiti dovrebbe inoltre confermare per iscritto l’avvenuto aggiornamento ai clienti che usano istanze dedicate.
In sintesi: con un CVSS 10.0 sfruttabile senza autenticazione, la finestra di rischio si misura in ore, non in settimane. Vale la pena verificare oggi stesso, anche solo per poter dire — con evidenza alla mano — che le proprie istanze erano già aggiornate. Per chiarimenti su verifiche e messa in sicurezza delle pipeline, il team Ada Consulting è a disposizione.
Fonte: https://thehackernews.com/2026/10/gitlab-patches-cvss-100-flaw-that-could.html
Lascia un commento