GitLab 19.4.2: RCE critica CVE-2026-97229 nelle regex CI/CD

📌 Sviluppi successivi: GitLab CVE-2026-110264: anche LDAP injection e request smuggling (22 ottobre 2026) · GitLab 19.5.1: nuova RCE CVE-2026-110264 senza autenticazione (22 ottobre 2026) · GitLab CVE-2026-97229: Rapid7 riproduce la RCE, serve la 19.3.5 (12 ottobre 2026)

Il 12 ottobre 2026 GitLab ha pubblicato le versioni 19.4.2, 19.3.4 e 19.2.8 di GitLab Community Edition (CE) ed Enterprise Edition (EE). Secondo l’avviso 2026-016 del CERT-EU, gli aggiornamenti correggono 24 problemi di sicurezza, tra cui una vulnerabilità critica che può permettere a un attaccante non autenticato di eseguire codice arbitrario sul server. Lo stesso giorno il CERT-FR ha pubblicato l’avviso CERTFR-2026-AVI-1294, che elenca 24 identificativi CVE.

A settembre ARX News ha trattato la CVE-2026-85706, la path traversal già sfruttata corretta con le versioni 19.1.8, 19.2.6 e 19.3.2. Le versioni corrette di allora risultano colpite anche da queste nuove vulnerabilità: chi si è fermato a quelle deve aggiornare di nuovo.

Cosa è successo

Secondo il CERT-EU, la vulnerabilità più grave, la CVE-2026-97229 con punteggio CVSS 10.0, si trova nel compilatore delle espressioni regolari di CI/CD. Una validazione debole delle espressioni regolari porta a un integer overflow; un’espressione costruita ad arte in una configurazione CI/CD può quindi far eseguire codice. L’avviso non descrive in che modo l’attaccante arrivi a far elaborare l’espressione.

Il CERT-EU raccomanda con forza di aggiornare al più presto tutte le istanze self-managed di GitLab CE/EE, a partire da quelle esposte su Internet. Nessuna delle due fonti segnala uno sfruttamento in corso.

Dettagli tecnici

Le altre vulnerabilità descritte dal CERT-EU:

• CVE-2026-92883 (CVSS 8.7): cross-site scripting nell’evidenziazione della sintassi; un utente autenticato può eseguire JavaScript arbitrario nel browser di altri utenti tramite un repository costruito ad arte.
• CVE-2026-16301 (CVSS 8.5): difetto di autorizzazione che permette a un utente con ruolo developer di avviare pipeline su branch protetti senza averne il permesso.
• altri 21 problemi, tra cui un difetto di cache poisoning con punteggio 8.2 che può esporre le variabili CI/CD protette.

Il CERT-FR non descrive le singole vulnerabilità, ma indica come rischi complessivi: esecuzione di codice arbitrario a distanza, violazione della confidenzialità e dell’integrità dei dati, aggiramento della politica di sicurezza, server-side request forgery (SSRF) e cross-site scripting (XSS).

Versioni colpite secondo il CERT-FR:

• GitLab CE ed EE 19.4.x precedenti alla 19.4.2;
• GitLab CE ed EE 19.3.x precedenti alla 19.3.4;
• GitLab CE ed EE precedenti alla 19.2.8.

Il CERT-EU indica le stesse soglie per le istanze self-managed. Gli avvisi non riportano correzioni per il ramo 19.1: anche la 19.1.8 è precedente alla 19.2.8.

Versioni corrette: 19.4.2, 19.3.4 e 19.2.8.

CVE elencate dal CERT-FR: CVE-2026-100104, CVE-2026-100755, CVE-2026-101168, CVE-2026-103549, CVE-2026-104661, CVE-2026-105458, CVE-2026-14210, CVE-2026-14552, CVE-2026-14814, CVE-2026-16275, CVE-2026-16301, CVE-2026-5954, CVE-2026-6567, CVE-2026-7767, CVE-2026-78335, CVE-2026-81839, CVE-2026-82632, CVE-2026-84284, CVE-2026-85529, CVE-2026-92528, CVE-2026-9268, CVE-2026-92883, CVE-2026-96893, CVE-2026-97229.

Entrambi gli avvisi rimandano al bollettino di GitLab del 12 ottobre 2026 (patch release 19.4.2) per i dettagli delle singole correzioni.

Impatto per le aziende europee e italiane

Un server GitLab custodisce di solito codice sorgente, configurazioni delle pipeline e credenziali per le integrazioni. La vulnerabilità critica riguarda proprio il motore CI/CD, e tra le altre correzioni ci sono un accesso non autorizzato alle pipeline dei branch protetti e una possibile esposizione delle variabili CI/CD protette: sono i punti in cui di solito si trovano i segreti usati per i rilasci.

Per i soggetti che rientrano nella NIS2, la gestione delle vulnerabilità e la sicurezza della catena di fornitura del software fanno parte delle misure richieste. Un’istanza GitLab compromessa può incidere anche sul software distribuito a clienti e partner. In caso di incidente significativo, in Italia la notifica va fatta allo CSIRT Italia dell’ACN.

Cosa fare subito

1. Inventario: individua tutte le istanze GitLab self-managed, con edizione (CE o EE) e versione, e verifica quali sono raggiungibili da Internet.
2. Aggiorna: porta ogni istanza alla 19.4.2, alla 19.3.4 o alla 19.2.8, o a versioni successive, partendo da quelle esposte su Internet, come raccomanda il CERT-EU. Le istanze aggiornate a settembre alla 19.1.8, alla 19.2.6 o alla 19.3.2 vanno aggiornate di nuovo.
3. Ramo 19.1: gli avvisi non indicano una versione corretta; passa almeno alla 19.2.8.
4. Consulta il bollettino di GitLab del 12 ottobre 2026 per i dettagli di ogni CVE e per le eventuali indicazioni del produttore.
5. Controlla le pipeline: dopo l’aggiornamento, verifica nei registri le pipeline avviate di recente sui branch protetti e le modifiche alle configurazioni CI/CD. Se trovi attività anomale, considera esposti i segreti usati dalle pipeline e sostituiscili.

Come aiuta ARXDOME

ARX Expose mostra quali servizi la tua azienda espone su Internet, quali prodotti vi sono riconosciuti e quali hanno vulnerabilità note: aiuta a scoprire se un’istanza GitLab è raggiungibile da fuori. ARX Shield elenca le vulnerabilità aperte sulle macchine monitorate. ARX Sentry raccoglie log ed eventi dei server su cui è installato l’agent e controlla l’integrità dei file nelle cartelle stabilite. Con ARX Horizon puoi consultare dal portale i dettagli delle vulnerabilità.

Ultimo aggiornamento: 12 ottobre 2026