Più di 1.000 server GitLab esposti su internet restano vulnerabili a una falla che gli attaccanti stanno sfruttando attivamente per eseguire codice da remoto, come ha riportato BleepingComputer il 2 novembre citando le misurazioni di Shadowserver. GitLab ha rilasciato le patch il 12 ottobre, lasciando agli amministratori delle installazioni self-managed non aggiornate un aggiornamento urgente da applicare.
La vulnerabilità, CVE-2026-97229, riguarda GitLab Community Edition (CE) ed Enterprise Edition (EE). CISA ha confermato lo sfruttamento attivo in un avviso del 29 ottobre che annunciava l'inserimento della falla nel catalogo Known Exploited Vulnerabilities, che raccoglie le falle usate in attacchi reali.
Il conteggio delle esposizioni riguarda i server vulnerabili. Domenica Shadowserver ha dichiarato di monitorare oltre 1.000 istanze vulnerabili a CVE-2026-97229.
Come la falla consente l'esecuzione di codice
La vulnerabilità di gravità massima comporta un overflow di interi, ovvero una condizione in cui un calcolo supera l'intervallo che un programma è in grado di rappresentare. Si trova nel Regular Expression Compiler di CI/CD di GitLab, che elabora i pattern di corrispondenza testuale nei file di configurazione delle pipeline automatizzate di build, test e deployment.
Nella dichiarazione del 12 ottobre, riportata da BleepingComputer, GitLab ha affermato che una validazione insufficiente di questi pattern potrebbe, in determinate condizioni, consentire a un utente non autenticato di eseguire codice arbitrario sul server. L'input dell'attacco è un'espressione regolare appositamente costruita in una configurazione CI/CD.
GitLab ha indicato che le release CE ed EE 19.4.2, 19.3.5 e 19.2.8 contengono le correzioni di sicurezza. L'azienda ha fortemente raccomandato a tutte le installazioni self-managed di aggiornare immediatamente. Ha inoltre precisato che la correzione era già stata applicata a GitLab.com e che i clienti di GitLab Dedicated non devono intraprendere alcuna azione.
Una seconda falla nel compilatore lascia esposte altre istanze
Shadowserver ha segnalato inoltre oltre 11.300 istanze vulnerabili a CVE-2026-110264, su circa 39.000 istanze GitLab che osserva ogni giorno. Quella falla separata, di gravità massima e corretta il mese scorso, consente anch'essa l'esecuzione di codice arbitrario sulle istanze prese di mira. La conferma di sfruttamento della CISA per CVE-2026-97229 riguarda quello specifico identificativo; il dato più ampio sull'esposizione riguarda CVE-2026-110264.
Tra le altre correzioni GitLab di quest'anno figurano il bypass dell'autenticazione a due fattori di gravità alta di gennaio, CVE-2026-0723, e la falla nell'API dei commit dei repository di gravità massima di settembre, CVE-2026-85706, che può esporre credenziali e altri segreti. La CISA ha segnalato quest'ultima come sfruttata attivamente dopo che watchTowr ha riferito di attaccanti che scansionavano i server vulnerabili.
BleepingComputer ha riferito che, da novembre 2021, la CISA ha aggiunto sei falle di GitLab al proprio catalogo delle vulnerabilità sfruttate, tra cui una usata in attacchi ransomware. GitLab afferma che la propria piattaforma conta oltre 70 milioni di utenti registrati ed è usata da più della metà delle aziende Fortune 100 nel mondo.
Cosa dovrebbero fare gli amministratori
BleepingComputer ha riferito che la scadenza per la correzione imposta alle agenzie federali è fissata a domenica. La direttiva vincolante della CISA si applica alle agenzie del ramo esecutivo civile federale statunitense e dà priorità alla rapida correzione delle vulnerabilità catalogate che riguardano asset esposti pubblicamente, quando lo sfruttamento concede il controllo totale. Stabilisce inoltre le aspettative per verificare, prima di applicare le patch, se gli attaccanti abbiano compromesso i sistemi. La CISA invita anche le altre organizzazioni a dare priorità alle falle catalogate.
Gli amministratori delle installazioni self-managed di GitLab dovrebbero seguire la raccomandazione dell'azienda e aggiornare subito alle versioni CE o EE corrette 19.4.2, 19.3.5 o 19.2.8.
