Più di 1.000 server GitLab esposti a Internet restano vulnerabili a CVE-2026-97229, una falla di gravità massima ora sfruttata nel mondo reale, secondo il gruppo di monitoraggio delle minacce Shadowserver.
La vulnerabilità è causata da un overflow degli interi nel compilatore di espressioni regolari CI/CD di GitLab, che elabora le espressioni regolari nei file di configurazione delle pipeline. In determinate condizioni, un aggressore non autenticato potrebbe utilizzare un'espressione appositamente elaborata per eseguire codice arbitrario su un server GitLab a causa di una convalida insufficiente.
GitLab ha divulgato il problema il 12 ottobre e ha rilasciato correzioni per le versioni 19.4.2, 19.3.5 e 19.2.8 di Community Edition ed Enterprise Edition. L'azienda ha esortato gli operatori delle installazioni autogestite ad aggiornare immediatamente. GitLab.com utilizzava già una versione corretta, mentre ai clienti GitLab Dedicated è stato comunicato che non era richiesta alcuna azione.
L'Agenzia per la sicurezza informatica e delle infrastrutture degli Stati Uniti ha confermato venerdì che la falla veniva sfruttata e l'ha aggiunta al proprio catalogo delle vulnerabilità note e sfruttate. Alle agenzie federali è stato ordinato di mettere in sicurezza i sistemi interessati entro domenica.
Nonostante la disponibilità delle patch, Shadowserver ha dichiarato domenica di stare monitorando più di 1.000 istanze GitLab vulnerabili esposte ad attacchi in corso. Il gruppo ha inoltre segnalato più di 11.300 istanze vulnerabili a un'altra falla del compilatore di espressioni regolari, CVE-2026-110264, tra circa 39.000 istanze GitLab che osserva quotidianamente.
CVE-2026-97229 fa parte di una serie di vulnerabilità GitLab affrontate quest'anno. Da gennaio, l'azienda ha corretto problemi tra cui CVE-2026-0723, che potrebbe consentire il furto di credenziali e altri segreti, e CVE-2026-110264, che può permettere l'esecuzione di codice arbitrario. Dal novembre 2021, CISA ha aggiunto sei vulnerabilità GitLab al proprio catalogo delle falle sfruttate attivamente; una di esse è stata inoltre collegata ad attacchi ransomware.
Fonti: BleepingComputer.