Bug di massima gravità in GitLab apre a esecuzione remota di codice
Testo scritto con l’intelligenza artificiale a partire da una fonte citata, senza revisione umana prima della pubblicazione.
CVE-2026-110264 sfrutta un overflow nelle regex; le release vulnerabili coprono 12 anni, aggiornare subito le istanze self-managed.
GitLab ha corretto una vulnerabilità critica, CVE-2026-110264, che in certe condizioni consente a un utente non autenticato di eseguire codice arbitrario su server self-managed1.
Il difetto nasce da un overflow di intero nella compilazione delle espressioni regolari. Una regex costruita ad arte, durante la compilazione, può innescare l’overflow e aprire alla RCE. La falla riguarda GitLab Community Edition e GitLab Enterprise Edition. La descrizione proviene dalle note di rilascio di GitLab1.
L’impatto storico è ampio: le versioni coinvolte risalgono fino a GitLab 7.0, pubblicata a giugno 2014, coprendo dodici anni di rilasci1.
GitLab ha pubblicato i fix nelle versioni 19.5.1, 19.4.3 e 19.3.6. Ha inoltre backportato la patch su 19.2.9, 19.1.9, 19.0.10 e 18.11.13. GitLab raccomanda di aggiornare “il prima possibile” a una versione corretta1.
Le piattaforme gestite da GitLab risultano già patchate. La nota cita GitLab.com e GitLab Dedicated. Per i clienti con istanze self-managed, GitLab ha pubblicato due rilevazioni di minaccia dedicate per aiutare a individuare possibili attività legate al difetto1.
GitLab non dettaglia le condizioni necessarie all’exploit nelle note pubbliche. Specifica però che la vulnerabilità si manifesta nella fase di compilazione di espressioni regolari predisposte per colpire il bug, con potenziale esecuzione di codice remoto se l’ambiente soddisfa tali condizioni1.
Indicazioni operative per i team IT:
- aggiornare subito alle versioni con fix: 19.5.1, 19.4.3 o 19.3.6; in alternativa applicare i backport 19.2.9, 19.1.9, 19.0.10 o 18.11.13, in base alla propria linea di rilascio;
- applicare le due rilevazioni di minaccia pubblicate da GitLab per le installazioni self-managed, così da migliorare la visibilità su eventuali tentativi di sfruttamento;
- fare riferimento alla nota ufficiale per dettagli e stato aggiornato della mitigazione1.
La finestra di esposizione, dodici anni di release, rende probabile la presenza di istanze non aggiornate in ambienti di produzione. L’invito di GitLab è netto: ridurre la superficie di attacco con l’aggiornamento immediato e l’uso delle rilevazioni messe a disposizione1.
Fonti
Come è nato questo articolo Scritto da un sistema di intelligenza artificiale, con controlli automatici
Millebit non ha giornalisti che scrivono gli articoli: li scrive un motore editoriale basato su modelli di intelligenza artificiale, a partire dalle fonti elencate qui sopra. Prima di uscire, ogni testo passa questi controlli:
- Fedeltà alle fonti. Un secondo passaggio toglie ogni affermazione che le fonti non sostengono. Valutazione su questo pezzo: 9/10.
- Anti-cliché. Un filtro scarta frasi fatte, enfasi e tic della prosa artificiale: superato.
- Giudizio editoriale. Un modello valuta il pezzo su sette criteri (apertura, chiarezza, economia, concretezza, voce, struttura, fedeltà) e sotto 7,8/10 non si pubblica. Questo articolo ha preso 8,1/10 dopo 1 revisione.
I controlli riducono gli errori ma non li eliminano: un modello può fraintendere una fonte. Per le decisioni importanti, risali alla fonte originale. Se trovi un errore, segnalacelo.
Per vedere Millebit nelle notizie principali di Google, aggiungilo alle tue fonti preferite. Oppure segui l’edizione di oggi, il feed RSS o La Sintesi.