GitLab patcha CVE-2026-97229: RCE massima gravità nel compilatore regex CI/CD

Il 12 ottobre 2026 GitLab ha rilasciato patch critiche per una vulnerabilità di esecuzione di codice remoto senza autenticazione, identificata come CVE-2026-97229, con punteggio CVSS 10.0 su scala 10. Il difetto risiede nel compilatore di espressioni regolari CI/CD: una regex appositamente costruita in un file di configurazione pipeline consente a un attaccante anonimo di eseguire codice arbitrario sul server. Solo le installazioni self-managed sono a rischio: GitLab.com è già patchato e i clienti GitLab Dedicated sono esenti da intervento. La gravità massima e la semplicità del vettore — rete, bassa complessità, nessun privilegio richiesto, nessuna interazione utente — impongono aggiornamenti immediati.

Il meccanismo: da regex craftata a esecuzione server-side

L'advisory ufficiale GitLab identifica il difetto come Integer Overflow issue in CI/CD Regular Expression Compiler. Il componente, deputato a parsare e compilare espressioni regolari nei file .gitlab-ci.yml, fallisce nel gestire input malformati che causano overflow aritmetico durante la compilazione o la valutazione. Questa condizione consente di eludere i controlli di validazione e di iniettare codice eseguito direttamente sul server GitLab.

La natura del vettore è particolarmente insidiosa perché sfrutta una superficie di attacco legittima e comunemente usata: le regex sono elemento standard nelle configurazioni CI/CD, impiegate per filtrare branch, tag, variabili o output di job. Un attaccante non autenticato può veicolare il payload attraverso un repository pubblico o una merge request, senza necessità di credenziali valide. Il vettore CVSS conferma questa configurazione: accesso di rete, complessità di attacco bassa, nessun privilezio richiesto, nessuna interazione dell'utente vittima.

Il campo S:C (Scope Changed) nel vettore CVSS indica che l'impatto supera il componente vulnerabile, estendendosi al sistema ospitante. Nel contesto GitLab, questo implica che la compromissione del server principale può propagarsi a runner CI/CD, registry container, variabili d'ambiente e — per estensione — agli artefatti costruiti nelle pipeline.

Gravità massima, superficie d'attacco DevOps e supply chain

Il punteggio CVSS 10.0 riflette non solo la facilità di exploit ma l'integralità degli impatti: riservenza, integrità e disponibilità tutte contrassegnate come "Alta" nell'advisory. GitLab conta oltre 30 milioni di utenti registrati e oltre il 50% delle Fortune 100 tra i propri clienti, secondo i dati riportati da BleepingComputer. La concentrazione di asset critici — codice sorgente, configurazioni di deploy, token di accesso, immagini container — rende ogni istanza self-managed un obiettivo ad alta redditività per attaccanti supply chain.

L'advisory non quantifica il numero di installazioni self-managed vulnerabili. Tuttavia, la distribuzione di GitLab in ambienti enterprise, spesso con esposizione Internet per collaborazione distribuita, amplifica il rischio. Non emergono sovrapposizioni infrastrutturali che colleghino CVE-2026-97229 a campagne di exploit già documentate, ma la gravità del difetto e la semplicità del vettore suggeriscono una finestra di esposizione pericolosa per gli operatori che ritardino l'aggiornamento.

Il componente regex, pur operando in un contesto che dovrebbe essere isolato, diviene in questo caso ponte per l'esecuzione server-side. Il pattern evidenzia una categoria di vulnerabilità trascurata: parser e compilatori di linguaggi formali, spesso considerati "collateral damage" della superficie di attacco, possono diventare vettori primari quando la validazione dell'input è insufficiente.

Pattern ricorrente: da path traversal a RCE in un mese

CVE-2026-97229 arriva a circa un mese di distanza da un'altra vulnerabilità di gravità massima in GitLab. A settembre 2026, l'azienda aveva già corretto CVE-2026-85706, un path traversal con file read che consentiva accesso non autorizzato a contenuti arbitrari sul server. Questa seconda falla era stata inserita nel catalogo KEV (Known Exploited Vulnerabilities) della CISA con conferma di exploit attivo in-the-wild.

La successione di due CVE critiche consecutive in componenti distinti — file service e compilatore regex — solleva questioni sulla profondità della superficie di attacco DevOps di GitLab. Il passaggio da file read a RCE non autenticato indica un'escalation nella severità delle condizioni che bypassano i controlli di accesso, pur senza che le fonti permettano di stabilire connessioni dirette tra i due meccanismi.

La frequenza dei rilasci critici suggerisce che i controlli di sicurezza preventivi, pur presenti, non intercettino sistematicamente classi di vulnerabilità che emergono solo con analisi approfondite di componenti interni. Il programma bug bounty HackerOne, attraverso cui "joaxcar" ha segnalato CVE-2026-97229, rimane il rivelatore principale di questi difetti.

Cosa fare adesso

• Aggiornare immediatamente alle versioni 19.2.8, 19.3.4 o 19.4.2 secondo il branch in uso, come raccomandato dall'advisory ufficiale GitLab: "These versions contain important bug and security fixes, and we strongly recommend that all self-managed GitLab installations be upgraded to one of these versions immediately."
• Verificare la versione corrente dell'istanza self-managed attraverso il pannello di amministrazione o l'interfaccia CLI, confrontandola con le versioni minime patchate indicate nelle release notes.
• Pianificare il deploy della 19.3.4 con attenzione: l'advisory segnala un bug noto che interessa le pagine merge request quando è abilitata l'integrazione Ona. La natura di questo difetto è funzionale, non di sicurezza, ma richiede valutazione dell'impatto sui workflow di review prima del rollout.
• Rivedere i log di accesso e le configurazioni CI/CD per identificare pattern anomali di submit di file .gitlab-ci.yml o attività di merge request da fonti non autenticate nelle ore precedenti all'aggiornamento.

"GitLab has remediated an issue that, under certain conditions, could have allowed an unauthenticated user to execute arbitrary code on the GitLab server via a specially crafted regular expression in a CI/CD configuration, due to insufficient regular expression validation" — Advisory GitLab ufficiale, 12 ottobre 2026

Cosa non è ancora chiaro

Il dossier non specifica la forma esatta della regex che scatena l'integer overflow, né se siano disponibili indicatori di compromesso specifici per rilevare tentativi di exploit. Non è documentato alcun workaround temporaneo oltre all'upgrade alle versioni patched, e non è quantificata l'eventuale presenza di exploit proof-of-concept in circolazione. L'assenza di CVE-2026-97229 dal catalogo KEV CISA, al momento della pubblicazione, non esclude che la situazione evolva nelle prossime ore.

Resta inoltre da chiarire se il bug funzionale segnalato in versione 19.3.4 possa interagire con altri componenti in modo non previsto: l'advisory lo classifica esplicitamente come bug noto, non come vulnerabilità di sicurezza, ma la sovrapposizione temporale con un rilascio di sicurezza critico richiede attenzione nei test di regressione.

Il segnale oltre la singola patch

La "regex della morte" — come il vettore è già stato definito nella cronaca tecnica — non è un caso isolato ma l'ultimo anello di una catena. Due mesi consecutivi di patch di gravità massima in un prodotto enterprise di primo piano indicano che la complessità della piattaforma DevOps genera superfici di attacco non lineari, dove componenti apparentemente marginali diventano vettori primari.

Per i team security, il messaggio è doppio: la prioritizzazione degli aggiornamenti deve essere aggressiva quando il CVSS è 10.0 e il vettore è non autenticato, ma anche che la valutazione del rischio deve estendersi oltre i confini tradizionali. Il compilatore regex, il parser YAML, il gestore di variabili: questi strati intermedi sono il nuovo perimetro.

Fonti

• https://www.bleepingcomputer.com/news/security/gitlab-warns-of-max-severity-rce-flaw-in-regex-compiler-engine/
• https://thehackernews.com/2026/10/attackers-exploit-cvss-100-bricksforge.html
• https://blog.netmanageit.com/gitlab-warns-of-max-severity-code-execution-vulnerability/
• https://radar.offseq.com/threat/gitlab-warns-of-max-severity-code-execution-vulnerability-102e0a8435692fa4
• https://thehackernews.com/2026/09/gitlab-cvss-10-file-read-flaw-draws-in.html
• https://www.darkreading.com/cyberattacks-data-breaches/maximum-severity-gitlab-flaw-supply-chains-risk
• https://www.cisa.gov/news-events/alerts/2026/09/11/cisa-adds-one-known-exploited-vulnerability-catalog
• https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-85706
• https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-4-2-released/#cve-2026-97229---integer-overflow-issue-in-cicd-regular-expression-compiler-impacts-gitlab-ceee
• https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-3-2-released/

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti