GitLab 19.5.1: nuova RCE CVE-2026-110264 senza autenticazione

Il 21 ottobre 2026 GitLab ha pubblicato la patch release 19.5.1 di GitLab Community Edition (CE) ed Enterprise Edition (EE). Secondo l’avviso 2026-019 del CERT-EU, pubblicato il 22 ottobre, gli aggiornamenti correggono una vulnerabilità critica, la CVE-2026-110264 con punteggio CVSS 10, che può permettere a un utente non autenticato di eseguire codice arbitrario sul server GitLab, e altre 11 vulnerabilità. Lo stesso giorno il NCSC-NL olandese ha pubblicato l’avviso NCSC-2026-0447 sulle vulnerabilità corrette in GitLab.

A ottobre ARX News ha trattato la CVE-2026-97229, anch’essa con punteggio CVSS 10, corretta con le versioni 19.4.2, 19.3.5 e 19.2.8. Quelle versioni rientrano negli intervalli colpiti dalla nuova vulnerabilità: chi le ha installate deve aggiornare di nuovo.

Cosa è successo

Secondo il CERT-EU, la CVE-2026-110264 è un integer overflow nel compilatore delle espressioni regolari di GitLab, che può permettere a un utente non autenticato di eseguire codice arbitrario sul server colpito. L’avviso non descrive il vettore d’attacco nel dettaglio né le condizioni di sfruttamento, e non indica se la vulnerabilità sia già sfruttata in attacchi reali.

Anche la CVE-2026-97229 del 12 ottobre era, secondo il CERT-EU, un integer overflow nel compilatore delle espressioni regolari, in quel caso di CI/CD. L’avviso del 22 ottobre non dice se le due vulnerabilità siano collegate.

Il CERT-EU raccomanda di aggiornare al più presto le istanze colpite, partendo da quelle esposte su Internet, e di fare una verifica di compromissione per individuare eventuali sistemi già violati.

Il testo dell’avviso del NCSC-NL non era disponibile al momento della stesura. Nel titolo, il NCSC-NL lo classifica «M/H»: nella sua scala, probabilità media e danno alto.

Dettagli tecnici

• CVE-2026-110264: CVSS 10, integer overflow nel compilatore delle espressioni regolari; esecuzione di codice arbitrario senza autenticazione.
• Altre correzioni: secondo il CERT-EU, GitLab ha corretto anche 2 vulnerabilità di gravità alta, 5 di gravità media e 4 di gravità bassa. L’avviso non ne riporta gli identificativi né la descrizione e rimanda al bollettino di GitLab della patch release 19.5.1.
• MITRE ATT&CK: lo sfruttamento di un servizio esposto senza autenticazione corrisponde a T1190 (Exploit Public-Facing Application).

Versioni colpite dalla CVE-2026-110264, GitLab CE ed EE, secondo il CERT-EU:

• dalla 7.0 alla 18.11.13 esclusa;
• 19.0 precedenti alla 19.0.10;
• 19.1 precedenti alla 19.1.9;
• 19.2 precedenti alla 19.2.9;
• 19.3 precedenti alla 19.3.6;
• 19.4 precedenti alla 19.4.3;
• 19.5 precedenti alla 19.5.1.

Prime versioni non colpite per ogni ramo: 18.11.13, 19.0.10, 19.1.9, 19.2.9, 19.3.6, 19.4.3 e 19.5.1. Ora c’è una soglia anche per il ramo 19.1, per il quale gli avvisi del 12 ottobre non ne indicavano una.

Rilevamento

Secondo il CERT-EU, GitLab ha pubblicato due regole di rilevamento per individuare i tentativi di sfruttamento, nel suo repository pubblico gitlab-security-oss/tldr:

• onigmo_native_worker_crash;
• org_mode_render_error_burst.

L’avviso non ne descrive il contenuto: vanno consultate sul repository di GitLab e applicate ai registri delle istanze. Nessuna delle fonti riporta indicatori di compromissione.

Impatto per le aziende europee e italiane

Come già scritto negli articoli precedenti, un server GitLab custodisce di solito codice sorgente, configurazioni delle pipeline e credenziali per le integrazioni. L’intervallo indicato dal CERT-EU parte dalla versione 7.0: riguarda quindi tutte le installazioni CE ed EE che non hanno ancora una delle versioni del 21 ottobre.

È la terza vulnerabilità di GitLab con punteggio CVSS 10 trattata da ARX News in poco più di un mese, dopo la CVE-2026-85706 di settembre e la CVE-2026-97229 di ottobre. Chi gestisce istanze GitLab deve mettere in conto aggiornamenti ravvicinati, fuori dal normale ciclo delle patch.

Per i soggetti che rientrano nella NIS2, la gestione delle vulnerabilità e la sicurezza della catena di fornitura del software fanno parte delle misure richieste. In caso di incidente significativo, in Italia la notifica va fatta allo CSIRT Italia dell’ACN.

Cosa fare subito

1. Inventario: individua tutte le istanze GitLab CE ed EE, con la versione, e verifica quali sono raggiungibili da Internet.
2. Aggiorna: porta ogni istanza almeno alla prima versione non colpita del suo ramo (18.11.13, 19.0.10, 19.1.9, 19.2.9, 19.3.6, 19.4.3 o 19.5.1), partendo da quelle esposte su Internet, come raccomanda il CERT-EU. Vale anche per le istanze già aggiornate a ottobre alla 19.4.2, alla 19.3.5 o alla 19.2.8.
3. Verifica di compromissione: applica le due regole di rilevamento di GitLab ai registri, a partire dalle istanze esposte.
4. Consulta il bollettino di GitLab della patch release 19.5.1 per i dettagli delle altre 11 vulnerabilità.
5. Se trovi attività sospetta: considera esposto il server, sostituisci i segreti usati dalle pipeline e valuta gli obblighi di notifica.

Come aiuta ARXDOME

ARX Expose mostra quali servizi la tua azienda espone su Internet, quali prodotti vi sono riconosciuti e quali hanno vulnerabilità note: aiuta a scoprire se un’istanza GitLab è raggiungibile da fuori. ARX Shield elenca le vulnerabilità aperte sulle macchine monitorate. ARX Sentry raccoglie log ed eventi dei server su cui è installato l’agent e controlla l’integrità dei file nelle cartelle stabilite. Con ARX Horizon puoi consultare dal portale i dettagli delle vulnerabilità.

Ultimo aggiornamento: 22 ottobre 2026