Vulnerabilità · 49 giorni fa
CSIRT Italia si è aggiunto a INCIBE-CERT nel confermare 11 vulnerabilità in GitLab CE/EE, di cui due critiche che consentono a un utente autenticato di eseguire codice sul server. Non sono state riportate nuove prove di sfruttamento né variazioni del perimetro interessato.
Le due falle critiche riguardano le espressioni regolari nelle configurazioni CI/CD. Un utente autorizzato a modificarle può inserire un pattern costruito ad arte: un errore nel modo in cui GitLab lo elabora fa sì che il server esegua codice invece di limitarsi a valutare la regola.
Sono interessate le installazioni self-managed dalla versione 13.11 fino alla 19.2.6, e le versioni 19.3 precedenti alla 19.3.3 e 19.4 precedenti alla 19.4.1. Le versioni corrette sono 19.2.7, 19.3.3 e 19.4.1 o successive; GitLab Dedicated è già corretto. Per chi gestisce GitLab in proprio, la configurazione delle pipeline è quindi anche una superficie di esecuzione sul server.
CVE in questo aggiornamento
10 CVE
Distribuite tra GitLab.
2 critiche · 2 alte · 5 medie · 1 basse
0 in CISA KEV · 0 con EPSS sopra 1%
Severità più alta: CVE-2026-89078 · 9.9 CRITICAL
EPSS più alto: CVE-2026-84739 · 0,34%
2 fonti che coprono questa storia
Risolte vulnerabilità su GitLab CE/EE
Rilasciati aggiornamenti di sicurezza che risolvono 11 vulnerabilità, di cui 2 con gravità “critica” e 2 con gravità “alta”, in GitLab Community Edition (CE) ed Enterprise Edition (EE).
Múltiples vulnerabilidades en GitLab
Los investigadores joaxcar, ahacker1, rogerace y scyoon, junto con varios miembros del equipo de GitLa
Part of the PlainSec briefing for 2026-09-24