Il 12 ottobre 2026 il CSIRT Italia, parte dell’Agenzia per la cybersicurezza nazionale, ha pubblicato l’alert AL03/261012/CSIRT-ITA. Riguarda GitLab Community Edition (CE) ed Enterprise Edition (EE), la piattaforma usata per gestire il codice software e i progetti di sviluppo. Il fornitore ha rilasciato aggiornamenti di sicurezza che risolvono 24 vulnerabilità: 1 ha gravità “critica” e 5 hanno gravità “alta”. L’impatto sistemico indicato dall’alert è “alto” (66.66).
Chi è coinvolto
Sono interessate le installazioni di GitLab CE/EE nelle seguenti versioni:
- tutte le versioni precedenti alla 19.2.8;
- 19.3.x, nelle versioni precedenti alla 19.3.4;
- 19.4.x, nelle versioni precedenti alla 19.4.2.
L’alert elenca le sei vulnerabilità con gravità critica e alta: CVE-2026-97229, CVE-2026-96893, CVE-2026-92883, CVE-2026-81839, CVE-2026-16301 e CVE-2026-14814. Per queste sei, la tabella dell’alert non indica la disponibilità di prove di concetto (POC) né sfruttamenti in corso.
Che rischio c’è
Le vulnerabilità appartengono a tre categorie. Se sfruttate, in determinate condizioni, potrebbero consentire a un utente malintenzionato di:
- eseguire codice arbitrario, cioè far girare sul sistema comandi scelti da chi attacca;
- eludere i meccanismi di sicurezza, cioè aggirare controlli e restrizioni previsti dal programma;
- accedere a informazioni sensibili presenti sui sistemi interessati.
Per chi usa GitLab in azienda, il codice sorgente e i dati dei progetti sono spesso risorse di grande valore. Per questo l’alert indica un impatto sistemico alto. Le condizioni necessarie per lo sfruttamento variano da caso a caso, ma la presenza di una falla critica rende opportuno intervenire con tempestività.
Cosa fare
Il CSIRT Italia, in linea con le dichiarazioni del fornitore, raccomanda di aggiornare i prodotti vulnerabili seguendo le indicazioni del bollettino di sicurezza di GitLab. Il bollettino è la pagina del vendor dedicata al rilascio delle patch della versione 19.4.2.
- Verificare quale versione di GitLab è in uso e confrontarla con quelle elencate sopra.
- Aggiornare alla release corretta per il proprio ramo: 19.2.8, 19.3.4 o 19.4.2.
- Consultare il bollettino di sicurezza prima di procedere, per seguire i passaggi indicati dal fornitore.
Come buone pratiche generali, conviene controllare che gli aggiornamenti siano pianificati con regolarità e avvisare il proprio fornitore IT, se gestisce l’installazione, in modo che l’intervento sia eseguito senza ritardi.
Fonte: alert AL03/261012/CSIRT-ITA del CSIRT Italia, Agenzia per la cybersicurezza nazionale, pubblicato il 12 ottobre 2026 (impatto sistemico alto). Leggi l’alert originale.
