Segui GitLab ha rilasciato aggiornamenti di sicurezza d’emergenza affrontando CVE-2026-97229, una vulnerabilità di esecuzione di codice remoto di massima gravità che interessa GitLab Community Edition (CE) ed Enterprise Edition (EE). Il difetto ha un punteggio CVSS di 10.0 e potrebbe permettere a un attaccante remoto non autenticato di eseguire codice arbitrario su un server GitLab vulnerabile in determinate condizioni.
La vulnerabilità risiede nel Compilatore di Espressioni Regolari CI/CD di GitLab ed è il risultato di una validazione insufficiente di espressioni regolari appositamente realizzate. Lo sfruttamento riuscito potrebbe compromettere la riservatezza, integrità e disponibilità di un ambiente GitLab senza richiedere autenticazione o interazione con l’utente.
GitLab ha rilasciato le versioni corrette 19.2.8, 19.3.4 e 19.4.2 il 12 ottobre 2026, esortando fortemente gli amministratori delle installazioni self-managed ad aggiornare immediatamente. GitLab.com esegue già la versione corretta, mentre i clienti dedicati di GitLab non devono intraprendere ulteriori azioni.
Con la gestione del codice sorgente e l’infrastruttura CI/CD che contengono repository sensibili, credenziali, segreti di distribuzione e accesso agli ambienti di produzione, le vulnerabilità in GitLab possono creare rischi significativi per le moderne catene di fornitura software.
I team di sicurezza possono rafforzare le loro difese contro lo sfruttamento emergente delle vulnerabilità con la Piattaforma di Rilevamento dell’Intelligenza AI-Nativa di SOC Prime, accelerando la ricerca delle minacce e l’ingegneria di rilevamento mentre adattano la logica di rilevamento alla telemetria di sicurezza della loro organizzazione.
Analisi di CVE-2026-97229
CVE-2026-97229 colpisce le installazioni di GitLab CE e EE su tre rami di rilascio attualmente vulnerabili:
- GitLab 19.2 prima di 19.2.8
- GitLab 19.3 prima di 19.3.4
- GitLab 19.4 prima di 19.4.2
La vulnerabilità è causata da un overflow dell’intero nel Compilatore di Espressioni Regolari CI/CD. Questo componente elabora le espressioni regolari utilizzate nelle configurazioni della pipeline di progetto. Secondo GitLab, una validazione insufficiente delle espressioni regolari può permettere a un attaccante non autenticato di fornire un’espressione appositamente realizzata che alla fine si traduce in esecuzione arbitraria di codice sul server GitLab.
GitLab ha assegnato alla vulnerabilità il massimo punteggio CVSS 3.1 di 10.0, con il vettore AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. Questo riflette la gravità di una vulnerabilità accessibile dalla rete che non richiede né autenticazione né interazione con l’utente e può potenzialmente avere un impatto elevato su riservatezza, integrità e disponibilità.
Il difetto è particolarmente pericoloso perché i server GitLab occupano comunemente una posizione molto privilegiata all’interno delle infrastrutture di sviluppo. Possono ospitare codice sorgente proprietario, variabili CI/CD, credenziali di distribuzione, token di accesso, file di configurazione e integrazioni con ambienti cloud e di produzione.
L’esecuzione di codice arbitrario sul server GitLab sottostante potrebbe quindi fornire agli attaccanti opportunità di accedere a repository sensibili, estrarre segreti, manipolare il codice sorgente, interferire con le pipeline, stabilire persistenza o utilizzare l’infrastruttura compromessa come trampolino di lancio verso altri sistemi.
La vulnerabilità è stata segnalata a GitLab attraverso il suo programma di bug bounty su HackerOne dal ricercatore di sicurezza joaxcar. GitLab non ha specificato pubblicamente la data esatta in cui il problema è stato inizialmente scoperto o segnalato privatamente. È stato divulgato pubblicamente con la patch critica rilasciata il 12 ottobre 2026.
La divulgazione segue altre recenti vulnerabilità che colpiscono i componenti di elaborazione delle espressioni regolari di GitLab. A settembre 2026, GitLab ha corretto CVE-2026-93577, un altro overflow dell’intero nel Compilatore di Espressioni Regolari, nonché CVE-2026-89078, una vulnerabilità di doppio rilascio nella Parsificazione delle Espressioni Regolari. Quei difetti precedenti richiedevano autenticazione, mentre la nuova vulnerabilità divulgata può essere attivata da un attaccante non autenticato nelle condizioni descritte da GitLab.
A partire dal 12 ottobre 2026, GitLab e i rapporti di sicurezza di riferimento non hanno confermato uno sfruttamento attivo della vulnerabilità negli attacchi reali. Non è stato documentato alcun PoC di CVE-2026-97229 convalidato pubblicamente nelle principali fonti esaminate al momento della stesura.
Per il rilevamento di CVE-2026-97229, i difensori dovrebbero monitorare l’infrastruttura self-managed di GitLab per attività di configurazione CI/CD sospette, espressioni regolari insolite, comportamento inatteso dei servizi GitLab e processi anormali avviati dai componenti server-side di GitLab.
Poiché lo sfruttamento riuscito fornisce l’esecuzione di codice arbitrario, il comportamento post-sfruttamento potrebbe variare considerevolmente a seconda degli obiettivi di un attaccante. Il monitoraggio dovrebbe quindi estendersi oltre i modelli di richiesta specifici della vulnerabilità per includere l’esecuzione dei processi, attività di rete in uscita, accesso alle credenziali, meccanismi di persistenza e modifiche inattese ai repository o alla configurazione CI/CD.
Mitigazione di CVE-2026-97229
GitLab raccomanda fortemente agli amministratori delle installazioni self-managed di CE ed EE di aggiornare immediatamente a una delle versioni corrette:
- 19.4.2 o successiva
- 19.3.4 o successiva
- 19.2.8 o successiva
GitLab.com è già stato aggiornato a una versione corretta, e i clienti dedicati di GitLab non devono intraprendere azioni. Anche CERT-EU raccomanda di dare priorità agli aggiornamenti per le istanze self-managed, particolarmente quelle direttamente accessibili da Internet.
Le organizzazioni dovrebbero prima inventariare le installazioni self-managed di GitLab e determinare le loro versioni precise. Le istanze esposte a Internet e i server integrati con infrastrutture di sviluppo, distribuzione, cloud o produzione sensibili dovrebbero ricevere la massima priorità di risoluzione.
Gli amministratori dovrebbero anche rivedere le recenti modifiche alla configurazione CI/CD per raccogliere modelli di espressione regolare inaspettati o inspiegabili. Le modifiche sospette alla configurazione dovrebbero essere correlate alle attività di autenticazione, alle modifiche del repository Git, alla telemetria del server e agli eventi di esecuzione dei processi.
Per rilevare i tentativi di sfruttamento di CVE-2026-97229, i team di sicurezza dovrebbero cercare attività insolite che coinvolgono l’elaborazione della configurazione CI/CD di GitLab seguita da un’esecuzione anomala dei processi server-side, attività shell inattese, connessioni in uscita o modifiche ai repository sensibili e le risorse di pipeline.
Poiché GitLab non ha divulgato IOC specifiche per attacchi di CVE-2026-97229, i difensori dovrebbero fare affidamento sul monitoraggio comportamentale piuttosto che aspettare hash statici, indirizzi IP o domini. Le organizzazioni che scoprono indicatori di possibile sfruttamento dovrebbero trattare il server GitLab come potenzialmente compromesso e indagare l’accesso ai segreti CI/CD, credenziali dei repository, esecutori, token di distribuzione e infrastruttura collegata.
Credenziali e segreti accessibili da un’istanza sospettata compromessa dovrebbero essere ruotati dopo il contenimento. I team di sicurezza dovrebbero anche rivedere la cronologia del repository e le configurazioni delle pipeline per i cambiamenti non autorizzati che potrebbero stabilire persistenza nella catena di fornitura del software anche dopo che il server sottostante è stato corretto.
La Piattaforma di Rilevamento dell’Intelligenza AI-Nativa di SOC Prime può aiutare i team di sicurezza a operativizzare l’intelligence emergente delle minacce e adattare la logica di rilevamento ai loro ambienti SIEM, EDR e altri contesti di sicurezza, supportando un’indagine più rapida del comportamento sospetto associato a vulnerabilità critiche.
FAQ
Cos’è CVE-2026-97229 e come funziona?
CVE-2026-97229 è una vulnerabilità critica di overflow dell’intero nel Compilatore di Espressioni Regolari CI/CD di GitLab. Una validazione insufficiente di espressioni regolari appositamente create può, in determinate condizioni, permettere a un attaccante remoto non autenticato di eseguire codice arbitrario su un server GitLab interessato. La vulnerabilità ha un punteggio CVSS di 10.0.
Quando è stato scoperto per la prima volta CVE-2026-97229?
GitLab ha attribuito al ricercatore di sicurezza joaxcar il merito di aver segnalato la vulnerabilità attraverso il suo programma di bug bounty su HackerOne. L’azienda non ha divulgato la precisa data di scoperta o segnalazione iniziale. La vulnerabilità è stata divulgata pubblicamente il 12 ottobre 2026, insieme alle versioni di GitLab 19.4.2, 19.3.4 e 19.2.8.
Qual è l’impatto di CVE-2026-97229 sui sistemi?
Lo sfruttamento riuscito può fornire agli attaccanti non autenticati l’esecuzione di codice arbitrario sul server GitLab. A seconda dell’ambiente, ciò potrebbe esporre codice sorgente, segreti CI/CD, credenziali, repository, infrastruttura di distribuzione e altre risorse accessibili dall’istanza compromessa.
CVE-2026-97229 può ancora colpirmi nel 2026?
Sì. Le installazioni self-managed di GitLab CE ed EE che eseguono versioni vulnerabili rimangono esposte fino a quando non vengono aggiornate. Le versioni 19.2 di GitLab prima di 19.2.8, le versioni 19.3 prima di 19.3.4 e le versioni 19.4 prima di 19.4.2 sono affette. GitLab.com è già stato aggiornato, e i clienti dedicati di GitLab non devono intraprendere ulteriori azioni.
Come posso proteggermi da CVE-2026-97229?
Aggiorna immediatamente le installazioni self-managed di GitLab alla versione 19.2.8, 19.3.4, 19.4.2 o a una versione successiva sicura. Dai priorità alle istanze esposte a Internet, indaga sulle modifiche sospette alla configurazione CI/CD e sui processi anormali lato server, e cambia le credenziali sensibili se si sospetta una compromissione. Gli amministratori dovrebbero anche monitorare i rilasci di sicurezza di GitLab per i dettagli aggiornati su CVE-2026-97229.
