GitLab espone il control plane del codice con un RCE critico
GitLab ha rilasciato il 12 ottobre 2026 patch d’emergenza per 24 vulnerabilità in CE ed EE. La più grave è CVE-2026-97229, una RCE con punteggio CVSS 10.0 che colpisce le istanze self-managed prima di 19.4.2, 19.3.4 e 19.2.8.
La falla è nel compiler delle regular expression usate in CI/CD: una regex costruita ad arte può mandare in overflow il parser e far eseguire codice al server, invece di limitarsi a valutare testo di configurazione. Nello stesso rilascio GitLab chiude anche altri buchi che ampliano l’impatto operativo, inclusi bypass di autorizzazione e possibili exposure di variabili protette.
Per chi gestisce GitLab on-premise, il punto non è solo la singola CVE: il piano di build e le regole di pipeline diventano parte del perimetro di fiducia. Se l’istanza è esposta su Internet, il rischio è che un errore in CI/CD si trasformi in compromissione del server, non in un semplice bug di progetto.
GitLab heeft kwetsbaarheden verholpen in GitLab Community Edition (CE) en Enterprise Edition (EE), specifiek in versies voorafgaand aan 19.2.8, 19.3.5 en 19.4.2.