GitLab corregge una vulnerabilità di code execution CVSS 10 in CE ed EE
GitLab ha corretto una vulnerabilità di massima gravità in GitLab Community Edition (CE) ed Enterprise Edition (EE) che, in determinate condizioni, avrebbe potuto consentire a utenti non autenticati di eseguire arbitrary code execution su un server GitLab.
Il problema è tracciato come CVE-2026-97229 e ha un punteggio CVSS di 10.0, il valore più alto nel Common Vulnerability Scoring System, usato per descrivere la gravità delle falle di sicurezza. GitLab ha dichiarato in un advisory pubblicato lunedì che il problema riguardava un controllo insufficiente di una regular expression, un pattern usato dal software per confrontare testo, in una configurazione CI/CD. CI/CD significa continuous integration e continuous delivery, il processo automatizzato che molti team di sviluppo usano per testare, compilare e distribuire software.
Secondo GitLab, una regular expression appositamente preparata in quella configurazione CI/CD potrebbe, in determinate circostanze, portare ad arbitrary code execution sul server GitLab. In termini pratici, arbitrary code execution significa che un aggressore potrebbe riuscire a far eseguire al sistema interessato comandi o software scelti dall'aggressore. L'advisory descrive CVE-2026-97229 come un problema di integer overflow, un tipo di bug che può verificarsi quando il software gestisce in modo errato un numero troppo grande per lo spazio assegnato.
Le versioni GitLab CE ed EE interessate sono tutte le versioni dalla 19.2 precedenti alla 19.2.8, tutte le versioni dalla 19.3 precedenti alla 19.3.5 e tutte le versioni dalla 19.4 precedenti alla 19.4.2. Le release corrette sono disponibili come 19.4.2, 19.3.5 e 19.2.8. Le organizzazioni che eseguono una propria instance GitLab dovrebbero verificare quale versione è installata e passare senza ritardo alla release corretta corrispondente, soprattutto dove GitLab è raggiungibile da utenti esterni a una rete interna strettamente controllata.
Lo stesso aggiornamento risolve anche tre vulnerabilità ad alta gravità. CVE-2026-92883, con un punteggio CVSS di 8.7, è una falla di cross-site scripting. Cross-site scripting è un problema di sicurezza web in cui un site può essere indotto a eseguire JavaScript indesiderato, il linguaggio di scripting usato nei browser, nella sessione di un altro utente. GitLab ha dichiarato che questo problema potrebbe consentire a un utente autenticato di eseguire JavaScript nelle sessioni browser di altri utenti tramite un repository appositamente creato.
CVE-2026-16301, con un punteggio CVSS di 8.5, è un problema di improper authorization nel downstream pipeline creation service. Authorization è la decisione su ciò che un utente già connesso è autorizzato a fare. In questo caso, GitLab ha dichiarato che un utente autenticato con ruolo Developer potrebbe eseguire pipeline CI/CD su protected branches. Le protected branches sono comunemente usate per limitare le modifiche a parti importanti di una codebase, quindi una falla che colpisce tali protezioni è rilevante per i team che si affidano a GitLab per controllare le release software.
Il terzo bug ad alta gravità è CVE-2026-14814, con un punteggio CVSS di 8.2. GitLab lo ha descritto come una vulnerabilità di regular expression permissiva che potrebbe consentire a un utente di avvelenare le risposte in cache per file repository raw. Una cache è costituita da dati archiviati usati per velocizzare richieste successive. GitLab ha dichiarato che il problema potrebbe fare in modo che le pipeline CI/CD degli utenti presi di mira eseguano contenuti appositamente creati e potrebbe potenzialmente esporre protected environment variables. Environment variables sono impostazioni usate dal software, e quelle protette possono contenere informazioni sensibili di deployment o di servizio.
L'advisory segue altre recenti correzioni di sicurezza di GitLab citate da The Hacker News. GitLab aveva già corretto CVE-2026-90970, una vulnerabilità critica di AI Gateway con un punteggio CVSS di 9.9. Quel problema avrebbe potuto consentire a un utente autenticato con accesso Duo Agent Platform di uscire dalla prompt template sandbox tramite una flow configuration appositamente creata e ottenere arbitrary command execution sull'AI Gateway. The Hacker News ha inoltre riportato che CVE-2026-85706, un'altra falla di massima gravità in GitLab CE ed EE con un punteggio CVSS di 10.0, ha visto probe in the wild entro poche ore dalla divulgazione pubblica del mese scorso.
Per i proprietari di siti web e i team IT, la preoccupazione immediata non è solo il server GitLab stesso, ma anche la catena di delivery del software intorno a esso. Un sistema GitLab self-hosted può contenere codice sorgente, impostazioni di deployment e workflow CI/CD collegati a siti web, applicazioni e infrastruttura. Una vulnerabilità che colpisce la configurazione CI/CD, le protected branches, i contenuti repository o le environment variables può quindi avere importanza ben oltre l'interfaccia di hosting del codice.
Gli amministratori dovrebbero trattare questo intervento come una maintenance window prioritaria, confermare la versione GitLab CE o EE installata ed eseguire l'upgrade a 19.4.2, 19.3.5 o 19.2.8, a seconda dei casi. I team dovrebbero anche rivedere quali utenti hanno accesso con ruolo Developer, dove vengono usate le protected branches e se le variabili CI/CD sono limitate ai job e alle branch che ne hanno realmente bisogno. Queste revisioni non sostituiscono il patching, ma possono ridurre l'esposizione evitabile intorno agli stessi workflow.
Per le organizzazioni che gestiscono piattaforme di codice come parte delle proprie operazioni web, AEU-I è rilevante in questo contesto perché fornisce IT, infrastruttura e consulenza con la sicurezza al primo posto.
L'azione chiave è semplice: le installazioni GitLab CE ed EE interessate dovrebbero essere aggiornate a una release corretta. La falla più grave non richiede un account autenticato nelle condizioni descritte da GitLab, e i bug correlati ad alta gravità colpiscono workflow autenticati che molti team di sviluppo usano ogni giorno.