Vulnerabilità · 6 ore fa
Su GitLab CE e EE, CVE-2026-97229 apre RCE su istanze self-managed ancora non aggiornate: Rapid7 ha riprodotto l’exploit su un’immagine CE non patchata, e il problema pesa soprattutto dove la registrazione pubblica degli utenti e la creazione di progetti sono attive. GitLab.com è già corretto e GitLab Dedicated non richiede interventi.
La falla sta nel compilatore delle regular expression usato nelle configurazioni CI/CD. Un input costruito ad arte passa i controlli iniziali, poi viene reinterpretato da un altro motore con una codifica diversa; lì l’integer overflow rompe i conti interni e trasforma una regex apparentemente valida in esecuzione di codice sul server.
Per chi gestisce GitLab self-managed, il confine di fiducia non è più la proprietà del repository ma la possibilità di creare e far processare contenuto da utenti esterni. Se quella superficie resta esposta, il server GitLab e i job CI/CD che tocca restano l’obiettivo reale anche dopo la patch.
11 fonti che coprono questa storia
Ra Gitlab Ci Cd Regex Integer Overflow Technical Analysis CVE-2026-97229
Rapid7 analyzes CVE-2026-97229, showing how GitLab CI regex compilation turns an Onigmo integer overflow into native code execution, with a public PoC.
GitLab patches a max-severity regex flaw alongside five high-severity bugs
The critical flaw could let unauthenticated attackers execute code on GitLab servers, while others involved pipeline security, repository access, and AI agent instruction injection.
CVE-2026-97229 Critical Unauthenticated Remote Code Execution in Gitlab
On October 12, 2026, GitLab published a critical patch release for CVE-2026-97229, an integer overflow or wraparound (CWE-190) in the CI/CD regular expression compiler affecting GitLab Community Edition (CE) and Enterprise Edition (EE).
GitLab rättar kritisk sårbarhet - CERT-SE
GitLab har publicerat säkerhetsuppdateringar för flera sårbarheter i GitLab Community Edition (CE) och Enterprise Edition (EE).
Kwetsbaarheden verholpen in GitLab
GitLab heeft kwetsbaarheden verholpen in GitLab Community Edition (CE) en Enterprise Edition (EE), specifiek in versies voorafgaand aan 19.2.8, 19.3.5 en 19.4.2.
GitLab admins urged to patch critical RCE flaw (CVE-2026-97229) - Help Net Security
GitLab is urging users of self-managed instances to patch a critical vulnerability (CVE-2026-97229) in its CI/CD Regular Expression Compiler.
GitLab Patches CVSS 10.0 Flaw That Could Let Unauthenticated Users Run Server Code
GitLab fixed CVE-2026-97229 (CVSS 10.0), a CI/CD flaw that could allow unauthenticated code execution under certain conditions.
Múltiples vulnerabilidades en productos de GitLab
Distintos investigadores y miembros del equipo interno de GitLab han informado sobre 24 vulnerabilidad
GitLab fixes critical vulnerability that exposed software environments to sabotage
The company urged customers to upgrade to the latest versions of its flagship products.
GitLab warns of max severity code execution vulnerability
GitLab warned users today to immediately patch a maximum-severity vulnerability in the CI/CD Regular Expression Compiler that could let remote attackers run arbitrary code on targeted instances.
Risolte vulnerabilità su GitLab CE/EE
Tra queste si evidenzia la CVE-2026-97229 per la quale risulta disponibile un Proof of Concept (PoC) in rete.
Part of the PlainSec briefing for 2026-10-16