Un bug critico in GitLab minacciava l’eliminazione di progetti pubblici

GitLab ha distribuito aggiornamenti urgenti per correggere la vulnerabilità critica CVE-2026-19478 (CVSS 9.4), che consentiva a un attaccante non autenticato di modificare o eliminare repository pubblici e dati utente tramite GraphQL. Coinvolte numerose versioni di Community Edition ed Enterprise Edition. Corretta anche la CVE-2026-19650: gli amministratori di istanze self-managed devono aggiornare immediatamente.

Gli sviluppatori GitLab hanno rilasciato patch urgenti per Community Edition (CE) ed Enterprise Edition (EE), eliminando la vulnerabilità critica CVE-2026-19478 (9,4 punti sulla scala CVSS). Questo bug consentiva a un utente malintenzionato non autenticato, in determinate condizioni, di modificare o eliminare da remoto progetti pubblici, nonché dati utente.

Come spiega GitLab, la vulnerabilità era associata a una delle direttive GraphQL, ma il suo nome e le esatte condizioni necessarie per uno sfruttamento riuscito non sono ancora state divulgate. Ma è noto che l’attacco poteva essere effettuato da remoto e per sfruttare il bug non erano necessarie né credenziali né azioni da parte della vittima.

CVE-2026-19478 sembra influenzare tutte le versioni di GitLab dalla 18.2 alla 11.18.11, il ramo 19.0 alla 19.0.8, dal 19.1 al 19.1.6 e dal 19.2 al 19.2.4. Le correzioni sono incluse in GitLab 19.2.4, 19.1.6, 19.0.8 e 18.11.11.

Solo gli operatori di istanze autogestite devono installare gli aggiornamenti e GitLab consiglia vivamente agli amministratori di eseguire l’aggiornamento a una delle versioni il prima possibile. Tuttavia, GitLab.com e GitLab Dedicated sono già stati aggiornati alle versioni corrette e i loro utenti non devono intraprendere alcuna azione aggiuntiva.

Gli sviluppatori hanno risolto anche un’altra vulnerabilità GraphQL: CVE-2026-19650, che ha ricevuto un punteggio CVSS di 7,1.

Questo bug CSRF è stato scoperto nel gestore di richieste multiplex GraphQL. A causa di una convalida errata della richiesta, un utente malintenzionato non autenticato potrebbe, in determinate condizioni, eseguire mutazioni GraphQL tramite richieste GET. Tuttavia, a differenza di CVE-2026-19478, questo problema richiedeva lo sfruttamento dell’interazione dell’utente.

Entrambe le vulnerabilità sono state scoperte come parte del programma bug bounty di GitLab su HackerOne e i dettagli tecnici su di esse saranno disponibili in un secondo momento. In genere, gli sviluppatori GitLab pubblicano ticket relativi ai bug 90 giorni dopo il rilascio delle correzioni, quindi una descrizione dettagliata delle vulnerabilità verrà resa pubblica intorno a metà novembre 2026.

Luigi Zullo

Ricercatore di sicurezza informatica con esperienza nell’analisi delle vulnerabilità, nella mitigazione del rischio cyber, nelle attività di red teaming ed ethical hacking e nella protezione di sistemi complessi. Specializzato in penetration testing e Threat Intelligence, contribuisce al rafforzamento della resilienza digitale di infrastrutture e reti aziendali.

Aree di competenza: Penetration Testing, Threat Intelligence, Red Teaming, Vulnerability Assessment, Incident Response