Edizione: Dev

GitLab chiude una falla critica che non richiede il login

GitLab ha pubblicato patch per CE ed EE: un errore nel compilatore di espressioni regolari può permettere esecuzione di codice senza autenticazione. GitLab.com è già corretto; le installazioni autogestite vanno aggiornate.

22/10/2026

Che succede

Chi usa GitLab.com ha già la correzione; chi ospita GitLab sui propri server deve applicarla. La patch critica del 21 ottobre risolve una falla nel compilatore di espressioni regolari che, in determinate condizioni, può consentire a un utente non autenticato di eseguire codice sul server.

Il problema, CVE-2026-110264, ha un punteggio CVSS di 10 su 10 e riguarda sia Community Edition sia Enterprise Edition. Il difetto è un integer overflow: un calcolo numerico supera il limite previsto mentre viene compilata un’espressione regolare costruita appositamente. Il bollettino indica versioni vulnerabili a partire dalla 7.0, con intervalli distinti per i rami successivi.

Le versioni corrette sono 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 e 18.11.13. GitLab ha esteso la correzione anche a rami precedenti a quelli normalmente coperti dal giro di patch. I tenant Dedicated su 19.3.5-internal0 e 19.4.2-internal0 o versioni successive la includono già. Sono disponibili anche rilevamenti per cercare possibili tentativi contro le istanze autogestite.

Perché conta

GitLab è spesso anche il punto da cui partono build e distribuzioni, con i relativi segreti. La falla senza login riguarda quindi un server che può aprire altre porte nel lavoro di un team: il suo ruolo nella catena di sviluppo rende questa patch particolarmente delicata.

Leggi la fonte

GitLab — patch critica del 21 ottobre

Vuoi sapere di più su pillole come questa?

Nella stessa edizione

Dev