GitLab espone il control plane del codice con un RCE critico
GitLab ha rilasciato il 12 ottobre 2026 patch d’emergenza per 24 vulnerabilità in CE ed EE. La più grave è CVE-2026-97229, una RCE con punteggio CVSS 10.0 che colpisce le istanze self-managed prima di 19.4.2, 19.3.4 e 19.2.8.
La falla è nel compiler delle regular expression usate in CI/CD: una regex costruita ad arte può mandare in overflow il parser e far eseguire codice al server, invece di limitarsi a valutare testo di configurazione. Nello stesso rilascio GitLab chiude anche altri buchi che ampliano l’impatto operativo, inclusi bypass di autorizzazione e possibili exposure di variabili protette.
Per chi gestisce GitLab on-premise, il punto non è solo la singola CVE: il piano di build e le regole di pipeline diventano parte del perimetro di fiducia. Se l’istanza è esposta su Internet, il rischio è che un errore in CI/CD si trasformi in compromissione del server, non in un semplice bug di progetto.