Self-managed GitLab espone RCE senza accesso al repository
Su GitLab CE e EE, CVE-2026-97229 apre RCE su istanze self-managed ancora non aggiornate: Rapid7 ha riprodotto l’exploit su un’immagine CE non patchata, e il problema pesa soprattutto dove la registrazione pubblica degli utenti e la creazione di progetti sono attive. GitLab.com è già corretto e GitLab Dedicated non richiede interventi.
La falla sta nel compilatore delle regular expression usato nelle configurazioni CI/CD. Un input costruito ad arte passa i controlli iniziali, poi viene reinterpretato da un altro motore con una codifica diversa; lì l’integer overflow rompe i conti interni e trasforma una regex apparentemente valida in esecuzione di codice sul server.
Per chi gestisce GitLab self-managed, il confine di fiducia non è più la proprietà del repository ma la possibilità di creare e far processare contenuto da utenti esterni. Se quella superficie resta esposta, il server GitLab e i job CI/CD che tocca restano l’obiettivo reale anche dopo la patch.
Ra Gitlab Ci Cd Regex Integer Overflow Technical Analysis CVE-2026-97229
Rapid7 analyzes CVE-2026-97229, showing how GitLab CI regex compilation turns an Onigmo integer overflow into native code execution, with a public PoC.
GitLab patches a max-severity regex flaw alongside five high-severity bugs
The critical flaw could let unauthenticated attackers execute code on GitLab servers, while others involved pipeline security, repository access, and AI agent instruction injection.
CVE-2026-97229 Critical Unauthenticated Remote Code Execution in Gitlab
On October 12, 2026, GitLab published a critical patch release for CVE-2026-97229, an integer overflow or wraparound (CWE-190) in the CI/CD regular expression compiler affecting GitLab Community Edition (CE) and Enterprise Edition (EE).