GitLab ha rilasciato patch d'emergenza per una vulnerabilità di esecuzione di codice remoto (RCE) di massima gravità (CVSS 10.0), CVE-2026-110264, che colpisce tutte le versioni self-managed. L'aggiornamento è critico per proteggere le istanze da potenziali attacchi.
GitLab ha emesso un avviso di sicurezza urgente, pubblicando aggiornamenti per correggere una vulnerabilità di remote code execution (RCE) di gravità critica, identificata come CVE-2026-110264. Questa falla, con un punteggio CVSS 10.0 (il massimo possibile), consente ad attaccanti remoti non autenticati di eseguire codice arbitrario sui server vulnerabili. La vulnerabilità interessa sia la Community Edition (CE) che l’Enterprise Edition (EE) di GitLab, estendendosi a tutte le versioni self-managed a partire dalla 7.0 (rilasciata nel 2014) fino alle più recenti, incluse le versioni di supporto a lungo termine (LTS).
La scoperta è attribuita al ricercatore di sicurezza noto come 'joaxcar', che ha segnalato il problema tramite il programma di bug bounty HackerOne di GitLab. Questo difetto si inserisce in un contesto di scoperte recenti, dato che 'joaxcar' aveva già identificato tre vulnerabilità di tipo integer overflow nella stessa engine regex nello stesso mese. Tuttavia, CVE-2026-110264 è la prima di queste falle a colpire versioni di GitLab precedenti alla 19.2, ampliando significativamente la potenziale superficie di attacco.
Il difetto risiede in un integer overflow all'interno del compilatore di espressioni regolari Onigmo, una componente integrata nella runtime Ruby di GitLab. Quando il compilatore processa un'espressione regolare appositamente creata, l'intero che gestisce la lunghezza del pattern può andare in overflow. Questo scenario anomalo può portare all'esecuzione di codice arbitrario sul server GitLab compromesso. La gravità della vulnerabilità è ulteriormente accentuata dal fatto che l'attacco non richiede alcuna autenticazione o interazione da parte dell'utente, rendendo potenzialmente vulnerabili tutte le istanze raggiungibili via rete.
Sebbene al momento della pubblicazione non fossero state rilevate prove concrete di sfruttamento attivo in ambienti di produzione, né la vulnerabilità fosse stata inserita nella lista CISA degli exploit attivi, la combinazione di facilità d'attacco e impatto devastante rende l'aggiornamento una priorità assoluta per tutti gli amministratori di sistema.
GitLab ha agito rapidamente, rilasciando sette versioni patch per i branch attivi (19.5, 19.4, 19.3) e backportando la correzione a quattro branch LTS più datati. Le versioni specifiche che includono la patch per CVE-2026-110264 sono:
Le prime quattro versioni coprono i rami LTS, mentre le ultime tre riguardano le release più recenti. È importante notare che questi aggiornamenti non si limitano a correggere la vulnerabilità RCE principale; il pacchetto include la risoluzione di dodici vulnerabilità in totale, tra cui altre due ad alta gravità: CVE-2026-15723 (un overflow legato all'autenticazione LDAP-SAML con CVSS 8.2) e CVE-2026-112212 (un problema di cache poisoning su endpoint OAuth/OIDC con CVSS 7.5).
GitLab.com, la piattaforma cloud gestita da GitLab, è già stata aggiornata. Anche i tenant di GitLab Dedicated con versioni interne 19.3.5-internal0, 19.4.2-internal0 o successive includono già queste correzioni e non richiedono azioni aggiuntive.
Per facilitare il monitoraggio e il rilevamento di tentativi di sfruttamento, GitLab ha reso disponibili due regole Sigma: "Onigmo native worker crash" e "Org mode render error burst". Queste regole sono progettate per essere integrate nei sistemi di gestione dei log (come il framework TLDR) e aiutano a identificare attività sospette legate alla vulnerabilità.
Le patch rilasciate introducono modifiche al database che richiedono l'esecuzione di migrazioni. Per le installazioni single-node, ciò potrebbe comportare un breve periodo di downtime. Le configurazioni multi-node, invece, possono beneficiare della procedura di aggiornamento zero-downtime prevista da GitLab. È fondamentale che gli amministratori verifichino che le migrazioni del database vengano completate con successo dopo l'aggiornamento. Le versioni 19.3.6 e 19.4.3 includono migrazioni regolari, mentre la 19.4.3 aggiunge anche migrazioni post-deployment.
Gli amministratori devono prestare attenzione a distinguere le versioni che contengono la correzione RCE (a partire da 19.3.6) da quelle che potrebbero includere solo correzioni per vulnerabilità minori. La presenza del suffisso .1 (ad esempio, 19.5.1) indica l'installazione del pacchetto di sicurezza completo.
Di fronte a una vulnerabilità di tale portata, si raccomanda ai team di sicurezza e agli amministratori di sistema di adottare le seguenti misure:
Questa vulnerabilità evidenzia nuovamente la dipendenza critica di GitLab dalla libreria Onigmo, che è stata al centro di precedenti exploit. La sua presenza su un'ampia gamma di versioni self-managed sottolinea l'importanza di una gestione rigorosa delle dipendenze di terze parti e di processi di patching rapidi. L'assenza di un workaround temporaneo efficace rafforza la necessità di mantenere un ciclo di aggiornamento continuo, specialmente per piattaforme che gestiscono codice sorgente e dati sensibili.
GitLab ha confermato che i dettagli tecnici completi delle vulnerabilità saranno resi pubblici dopo novanta giorni dal rilascio delle patch, in linea con la sua politica di divulgazione responsabile. Nel frattempo, la situazione deve essere considerata un'emergenza di sicurezza.
In sintesi, CVE-2026-110264 rappresenta una minaccia critica per tutte le istanze GitLab self-managed. L'applicazione tempestiva delle patch, un monitoraggio proattivo dei log e una revisione delle configurazioni di rete sono passi fondamentali per mitigare efficacemente il rischio.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
