home / blog
2026-10-21 · critica
GitLab: esecuzione di codice non autenticata (CVE-2026-110264)
Esecuzione di codice non autenticata in GitLab CE ed EE, CVSS 10,0. Aggiornare alla release corretta del proprio ramo.
Il 21 ottobre 2026 GitLab ha rilasciato le correzioni per CVE-2026-110264, una vulnerabilità di esecuzione di codice non autenticata in GitLab CE ed EE, con punteggio CVSS v3.1 di 10,0. Secondo la descrizione NVD, il difetto interessa tutte le versioni dalla 7.0 fino alla 18.11.13 esclusa e le versioni 19.x precedenti alla 19.5.1.
La causa è un overflow di interi durante la compilazione di un'espressione regolare costruita ad arte. Per questo le release di ottobre rilasciate prima della 19.5.1 restano vulnerabili: non basta aver già applicato l'ultimo patch del mese precedente.
Aggiornare alla release corretta del proprio ramo, riavviare l'istanza e controllare i log del servizio per attività anomale. GitLab non indica mitigazioni alternative.
In sintesi
- Cosa
- Esecuzione di codice non autenticata sul server GitLab, in CE ed EE.
- Gravità
- CVSS v3.1 10,0 (critica), secondo il record NVD di GitLab.
- Causa
- Overflow di interi durante la compilazione di un'espressione regolare costruita ad arte (CWE-190).
- Versioni interessate
- Dalla 7.0 fino alla 18.11.13 esclusa, e dalla 19.0 fino alla 19.5 esclusa. Sono interessate anche le release di ottobre precedenti alla 19.5.1.
- Correzione
- GitLab 19.5.1 e 18.11.13. Per gli altri rami consultare le note di rilascio di GitLab.
- Azione
- Aggiornare alla release corretta del proprio ramo. GitLab non indica mitigazioni alternative: l'aggiornamento è l'unica soluzione. GitLab.com risulta già aggiornato.