Vulnerabilità · 1 ore fa
GitLab ha rilasciato il 12 ottobre 2026 patch d’emergenza per 24 vulnerabilità in CE ed EE. La più grave è CVE-2026-97229, una RCE con punteggio CVSS 10.0 che colpisce le istanze self-managed prima di 19.4.2, 19.3.4 e 19.2.8.
La falla è nel compiler delle regular expression usate in CI/CD: una regex costruita ad arte può mandare in overflow il parser e far eseguire codice al server, invece di limitarsi a valutare testo di configurazione. Nello stesso rilascio GitLab chiude anche altri buchi che ampliano l’impatto operativo, inclusi bypass di autorizzazione e possibili exposure di variabili protette.
Per chi gestisce GitLab on-premise, il punto non è solo la singola CVE: il piano di build e le regole di pipeline diventano parte del perimetro di fiducia. Se l’istanza è esposta su Internet, il rischio è che un errore in CI/CD si trasformi in compromissione del server, non in un semplice bug di progetto.
6 fonti che coprono questa storia
GitLab Patches CVSS 10.0 Flaw That Could Let Unauthenticated Users Run Server Code
GitLab fixed CVE-2026-97229 (CVSS 10.0), a CI/CD flaw that could allow unauthenticated code execution under certain conditions.
Múltiples vulnerabilidades en productos de GitLab
Distintos investigadores y miembros del equipo interno de GitLab han informado sobre 24 vulnerabilidad
GitLab fixes serious vulnerability that exposed software environments to sabotage
The company urged customers to upgrade to the latest versions of its flagship products.
GitLab warns of max severity code execution vulnerability
GitLab warned users today to immediately patch a maximum-severity vulnerability in the CI/CD Regular Expression Compiler that could let remote attackers run arbitrary code on targeted instances.
Risolte vulnerabilità su GitLab CE/EE
Rilasciati aggiornamenti di sicurezza che risolvono 24 vulnerabilità, di cui 1 con gravità “critica” e 5 con gravità “alta”, in GitLab Community Edition (CE) ed Enterprise Edition (EE).
Part of the PlainSec briefing for 2026-10-13