CISA ha inserito CVE-2026-97229 nel catalogo Known Exploited Vulnerabilities (KEV) il 29 ottobre 2026, citando prove di sfruttamento attivo. GitLab assegna alla falla un punteggio CVSS 10.0: in determinate condizioni, una regex appositamente costruita nella configurazione CI/CD potrebbe consentire a un utente non autenticato di eseguire codice sul server. Per correggerla, gli amministratori devono controllare la versione del proprio ramo e, se usano un runtime Ruby separato, aggiornare anche quello. (CISA; GitLab)
Versioni GitLab interessate e correzioni
GitLab indica come interessate le versioni CE/EE precedenti alla release correttiva di ciascun ramo. La soglia cambia tra 19.2, 19.3 e 19.4:
| Ramo | Versioni interessate | Corretto dalla versione |
| 19.2 | Precedenti alla 19.2.8 | 19.2.8 |
| 19.3 | Precedenti alla 19.3.5 | 19.3.5 |
| 19.4 | Precedenti alla 19.4.2 | 19.4.2 |
GitLab ha dichiarato che GitLab.com eseguiva già una versione corretta e che i tenant GitLab Dedicated erano stati aggiornati prima della pubblicazione dell’avviso del 12 ottobre. Per le installazioni self-managed, l’azienda ha pubblicato anche sei rilevamenti pensati per individuare tentativi di sfruttamento. (Avviso di sicurezza GitLab)
Quando aggiornare GitLab non basta
Nelle installazioni che usano un Ruby installato separatamente, aggiornare GitLab può lasciare vulnerabile il componente coinvolto. Alpine Linux ha identificato il motore di espressioni regolari Onigmo, incluso in Ruby, come parte del problema. La correzione era presente nel Ruby fornito con i pacchetti e le immagini ufficiali di GitLab; l’immagine personalizzata di Alpine usava invece un runtime Ruby distinto. (Resoconto di Alpine Linux)
Alpine aggiornò GitLab alla versione 19.3.6 il 22 ottobre, ma il runtime separato rimase vulnerabile finché non venne aggiornato anche Ruby. Per installazioni con un Ruby proprio, Alpine indica Ruby 3.3.13, 3.4.12 o 4.0.9, secondo il ramo, oppure una versione successiva. Alpine ha riferito che l’immagine pubblicata il 27 ottobre includeva Ruby 3.3.13, mentre le immagini 19.3.6 precedenti a quella data e i tag più vecchi erano ancora vulnerabili.
Che cosa è successo all’istanza di Alpine Linux
Tra il 20 e il 21 ottobre un aggressore ha inviato configurazioni CI costruite ad arte all’istanza GitLab di Alpine, che allora eseguiva la versione 19.3.4. I processi worker si sono arrestati otto volte; in quattro casi l’attacco è avanzato solo in parte prima di fallire al passaggio successivo.
Alpine non ha trovato prove che l’aggressore fosse riuscito a eseguire codice, ma non ha potuto escluderlo. Ha quindi ricostruito la propria istanza. I controlli dell’organizzazione non hanno rilevato manomissioni nel repository aports, nei pacchetti o nelle release del 21 ottobre. Il 29 ottobre il servizio è stato riaperto con GitLab 19.3.7. Questi risultati riguardano l’istanza di Alpine oggetto dell’attacco.
A chi si applica BOD 26-04
CISA ha precisato che la direttiva BOD 26-04 si applica alle agenzie del Federal Civilian Executive Branch (FCEB). L’agenzia invita anche le altre organizzazioni a dare priorità alle vulnerabilità presenti nel KEV, ma la direttiva non estende a loro i propri obblighi. (Avviso CISA)
