GitLab CVE-2026-97229 sfruttata: CISA la inserisce nel KEV

📌 Sviluppi successivi: GitLab CVE-2026-97229: attacco ad Alpine, serve aggiornare Ruby (29 ottobre 2026)

Il 29 ottobre 2026 la CISA statunitense ha aggiunto la CVE-2026-97229 di GitLab Community Edition (CE) ed Enterprise Edition (EE) al catalogo Known Exploited Vulnerabilities (KEV), l’elenco delle vulnerabilità sfruttate in attacchi reali. È la vulnerabilità con punteggio CVSS 10 nel compilatore delle espressioni regolari di CI/CD che ARX News ha trattato il 12 ottobre, quando GitLab l’ha corretta con le versioni 19.4.2, 19.3.5 e 19.2.8.

Il quadro cambia: a metà ottobre né Rapid7 né INCIBE-CERT segnalavano attacchi in corso. Le informazioni nuove di questo articolo vengono da una sola fonte, la scheda del catalogo KEV con il record NVD collegato.

Cosa dice la CISA

La scheda del catalogo KEV classifica la falla come «Integer Overflow or Wraparound» e riporta:

• data di inserimento: 29 ottobre 2026;
• scadenza: 1° novembre 2026, il termine entro cui gli enti federali statunitensi devono intervenire, tre giorni dopo l’inserimento;
• uso in campagne ransomware: non noto («Unknown»);
• azione richiesta: applicare le mitigazioni secondo le istruzioni del produttore, nel rispetto della direttiva BOD 26-04 sulla priorità degli aggiornamenti in base al rischio e dei requisiti di triage forense della CISA («Forensics Triage Requirements»). Se le mitigazioni non sono disponibili, la CISA indica di smettere di usare il prodotto e chiede di valutare l’esposizione su Internet di ogni sistema.

La scheda non descrive gli attacchi: non dice da quando la vulnerabilità sia sfruttata, da chi né contro quali bersagli, e non riporta indicatori di compromissione.

Dettagli tecnici dal record NVD

Il record NVD, pubblicato il 13 ottobre e aggiornato il 29 ottobre, è ancora in analisi («Undergoing Analysis»). Riporta:

• descrizione: in determinate condizioni, un utente non autenticato può eseguire codice arbitrario sul server GitLab con un’espressione regolare costruita ad arte in una configurazione CI/CD, a causa di una validazione insufficiente delle espressioni regolari;
• debolezza: CWE-190 (integer overflow o wraparound);
• CVSS 3.1: 10.0, vettore AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H, assegnato da GitLab;
• versioni colpite: dalla 19.2 alla 19.2.8 esclusa, dalla 19.3 alla 19.3.5 esclusa, dalla 19.4 alla 19.4.2 esclusa;
• riferimenti: il bollettino della patch release 19.4.2 di GitLab, la segnalazione nel tracker di GitLab e due rapporti HackerOne ad accesso riservato.

Le condizioni di sfruttamento descritte da Rapid7, già riportate nell’articolo di metà ottobre, restano le uniche pubbliche: il commit di un file .gitlab-ci.yml malevolo in un progetto pubblico, con un percorso del repository che contiene caratteri UTF-8; sulle istanze che permettono di creare progetti pubblici basta un account ordinario. La CISA non dice se gli attacchi seguano questo schema. In termini MITRE ATT&CK resta lo sfruttamento di un’applicazione esposta (T1190).

Le versioni di ottobre non bastano più

Le versioni 19.4.2, 19.3.5 e 19.2.8 correggono la CVE-2026-97229, ma secondo l’avviso del CERT-EU del 22 ottobre sono colpite dalla CVE-2026-110264, un’altra vulnerabilità con punteggio CVSS 10 ed esecuzione di codice senza autenticazione, corretta da GitLab il 21 ottobre. Per i rami elencati dal record NVD, le versioni che chiudono entrambe le falle sono 19.2.9, 19.3.6, 19.4.3 e 19.5.1 o successive.

Come già scritto il 22 ottobre, secondo la KISA solo i rami 19.3, 19.4 e 19.5 hanno versioni corrette anche per altre due vulnerabilità dello stesso rilascio (CVE-2026-15723 e CVE-2026-112212).

Il record NVD non elenca i rami precedenti alla 19.2, e le fonti non dicono se siano colpiti dalla CVE-2026-97229. Per la CVE-2026-110264 il CERT-EU indica come prime versioni non colpite 18.11.13, 19.0.10 e 19.1.9.

Impatto per le aziende europee e italiane

La scadenza del 1° novembre vale per gli enti federali statunitensi. Per tutti gli altri, l’inserimento nel catalogo KEV significa che la vulnerabilità non è più soltanto teorica.

Sono più esposte le istanze self-managed raggiungibili da Internet, soprattutto quelle con registrazione aperta o in cui gli utenti possono creare progetti pubblici, la condizione indicata da Rapid7. Secondo le indicazioni di GitLab riportate a metà ottobre, GitLab.com usa già la versione corretta e i clienti di GitLab Dedicated non devono fare nulla. Un server GitLab custodisce di solito codice sorgente, pipeline di rilascio e credenziali per le integrazioni.

Per i soggetti che rientrano nella NIS2 vale quanto già scritto: gestione delle vulnerabilità, sicurezza della catena di fornitura del software e, in caso di incidente significativo, notifica allo CSIRT Italia dell’ACN.

Cosa fare subito

1. Inventario: individua tutte le istanze GitLab self-managed, con edizione, versione ed esposizione su Internet, come chiede la CISA.
2. Aggiorna: porta ogni istanza almeno alla 19.2.9, alla 19.3.6, alla 19.4.3 o alla 19.5.1, preferendo i rami 19.3 e successivi, e parti da quelle esposte su Internet. Chi è fermo alla 19.2.8, alla 19.3.5 o alla 19.4.2 è protetto dalla CVE-2026-97229 ma non dalla CVE-2026-110264.
3. Rami precedenti alla 19.2: le fonti non indicano una correzione per la CVE-2026-97229; passa a un ramo supportato tra quelli elencati.
4. Verifica di compromissione: la CISA richiama i suoi requisiti di triage forense. Cerca le modifiche recenti a .gitlab-ci.yml nei progetti pubblici, soprattutto da account nuovi o poco usati, e i percorsi del repository con caratteri non ASCII. Le regole di rilevamento pubblicate da GitLab il 21 ottobre riguardano la CVE-2026-110264: le fonti non dicono se rilevino anche la CVE-2026-97229. Nessuna fonte riporta indicatori di compromissione.
5. Se trovi attività sospetta: considera esposto il server, sostituisci i segreti usati dalle pipeline e dalle integrazioni e valuta gli obblighi di notifica.

Come aiuta ARXDOME

ARX Expose mostra quali servizi la tua azienda espone su Internet, quali prodotti vi sono riconosciuti e quali hanno vulnerabilità note: aiuta a scoprire se un’istanza GitLab è raggiungibile da fuori. ARX Shield elenca le vulnerabilità aperte sulle macchine monitorate. ARX Sentry raccoglie log ed eventi dei server su cui è installato l’agent e controlla l’integrità dei file nelle cartelle stabilite. Con ARX Horizon puoi consultare dal portale i dettagli delle vulnerabilità.

Ultimo aggiornamento: 29 ottobre 2026