GitLab RCE: falla CVSS 10.0 senza login dalla versione 7.0, come aggiornare
Chi gestisce un’istanza GitLab self-managed, Community o Enterprise, dalla versione 7.0, deve aggiornare a una delle release corrette: la falla CVE-2026-110264 permette a un utente non autenticato di eseguire codice sul server. Secondo la pagina ufficiale di GitLab, la vulnerabilità ha punteggio CVSS 10.0 ed è stata corretta con le patch rilasciate il 21 ottobre 2026.
Chi è esposto e cosa fare
GitLab ha pubblicato il 21 ottobre 2026 le versioni 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 e 18.11.13, per Community Edition ed Enterprise Edition. L’azienda raccomanda di aggiornare subito tutte le installazioni self-managed a una di queste.
Chi usa GitLab.com non deve fare nulla: il servizio esegue già la versione corretta. Lo stesso vale per i tenant GitLab Dedicated con 19.3.5-internal0 e 19.4.2-internal0 o successive.
Il problema: codice eseguito sul server senza login
Secondo GitLab, in certe condizioni un utente non autenticato poteva eseguire codice arbitrario sul server a causa di un integer overflow nella compilazione di un’espressione regolare costruita ad arte. La gravità dichiarata nel bollettino è «Critical».
Il punteggio CVSS 10.0 corrisponde a un attacco via rete, con complessità bassa, senza privilegi né interazione dell’utente, e con impatto alto su riservatezza, integrità e disponibilità.
Versioni vulnerabili e corrette
Secondo GitLab sono colpite tutte le versioni CE/EE dalla 7.0. La correzione è stata portata anche alle versioni 18.11.13, 19.0.10, 19.1.9 e 19.2.9.
| Ramo vulnerabile | Versione corretta |
|---|---|
| Dalla 7.0 prima della 18.11.13 | 18.11.13 |
| 19.0 prima della 19.0.10 | 19.0.10 |
| 19.1 prima della 19.1.9 | 19.1.9 |
| 19.2 prima della 19.2.9 | 19.2.9 |
| 19.3 prima della 19.3.6 | 19.3.6 |
| 19.4 prima della 19.4.3 | 19.4.3 |
| 19.5 prima della 19.5.1 | 19.5.1 |
Come controllare e aggiornare
- GitLab ha rilasciato due rilevamenti di minaccia per le istanze self-managed, per cercare tentativi di sfruttamento di CVE-2026-110264: «Onigmo native worker crash» e «Org mode render error burst».
- L’aggiornamento include migrazioni del database. Su un’istanza a nodo singolo causa downtime, perché le migrazioni devono concludersi prima che GitLab si avvii.
- Su istanze multi-nodo, con la procedura di aggiornamento zero-downtime, la patch si applica senza interruzioni.
- Migrazioni regolari sono presenti nelle versioni 19.4.3 e 19.3.6; migrazioni post-deploy, eseguibili dopo l’aggiornamento, nella 19.4.3.
- Le istruzioni stanno nella pagina Update della documentazione GitLab; per GitLab Runner esiste una pagina dedicata.
Chi l’ha scoperta
La vulnerabilità è stata segnalata da joaxcar tramite il programma bug bounty di GitLab su HackerOne. Lo stesso bollettino corregge altre undici vulnerabilità di gravità alta, media e bassa, elencate nella tabella della pagina ufficiale.
