GitLab lancia l’allarme: patch urgente per la vulnerabilità di path traversal più grave del 2026

GitLab, piattaforma di DevSecOps con oltre 30 milioni di utenti registrati e più della metà dei Fortune 100, ha pubblicato giovedì un avviso di emergenza: le installazioni self‑managed devono aggiornare immediatamente alla versione 19.3.2 (o 19.2.6/19.1) per chiudere due vulnerabilità di gravità massima, tra cui la più recente CVE‑2026‑85706, un difetto di path traversal che permette a un aggressore non autenticato di leggere file sensibili. L’allerta arriva in un contesto di crescente pressione da parte delle autorità statunitensi (CISA, FBI) e di un’ondata di attacchi che sfruttano vulnerabilità di tipo “unforgivable” da più di un decennio.

Il difetto di path traversal: meccanismo e impatto

CVE‑2026‑85706 nasce da una cattiva gestione dei percorsi nella API dei commit di GitLab. L’endpoint, pensato per consentire la creazione e la modifica di commit, non verifica adeguatamente la normalizzazione del percorso né impone controlli di autenticazione. Un attaccante può quindi inviare una richiesta manipolata con sequenze “../” per risalire la gerarchia dei file e accedere a risorse al di fuori del repository, come chiavi SSH, file di configurazione o persino il database SQLite interno. Poiché la vulnerabilità è sfruttabile senza credenziali, il rischio di esfiltrazione di proprietà intellettuale è elevatissimo, soprattutto per aziende che ospitano codice sorgente critico (ad es. Nvidia, Airbus, Goldman Sachs). Inoltre, la lettura di file di configurazione può rivelare token di accesso a servizi cloud, aprendo la porta a attacchi a catena laterale (supply‑chain).

Le vulnerabilità critiche di GitLab nel contesto della sicurezza globale

La seconda vulnerabilità, CVE‑2026‑87719, riguarda una deserializzazione insicura nel serializer GraphQL delle subscription. Qui, un utente autenticato con privilegi di Duo Chat può iniettare payload malevoli e sottrarre credenziali o configurazioni di ricerca avanzata. Questo tipo di flaw è tipico delle piattaforme che offrono API flessibili: la potenza di GraphQL è controbilanciata da una superficie di attacco più ampia.
Nel 2023 GitLab aveva già dovuto gestire un difetto di path traversal (CVE‑2023‑2825) che aveva esposto codice sorgente e token. Dal 2021, CISA ha segnalato quattro vulnerabilità di GitLab come “exploited in the wild”, inclusi due casi nel febbraio 2024 (CVE‑2021‑22175 e CVE‑2021‑39935). La tendenza è chiara: le piattaforme di sviluppo collaborativo sono diventate bersagli primari per attori statali e criminali, poiché il furto di codice può tradursi in vulnerabilità zero‑day per prodotti commerciali o in vantaggi competitivi.

Risposta di GitLab e le sfide operative per le imprese

GitLab ha adottato una strategia di comunicazione rapida: l’avviso è stato pubblicato sul blog aziendale, su HackerOne e tramite notifiche dirette ai clienti Enterprise. La raccomandazione è di aggiornare entro 24 ore, con la precisazione che GitLab.com è già protetto e i clienti GitLab Dedicated non necessitano di interventi. Tuttavia, la realtà operativa è più complessa. Le grandi organizzazioni spesso gestiscono ambienti ibridi (on‑premise, cloud, container) e dipendono da pipeline CI/CD automatizzate. L’interruzione di un aggiornamento può impattare la continuità di sviluppo, richiedendo test di regressione, verifica di compatibilità con plugin di terze parti e, in alcuni casi, la ricostruzione di artefatti firmati.
In risposta, molti team di sicurezza stanno implementando “patch windows” più frequenti, integrando scanner di vulnerabilità (SAST, DAST) direttamente nelle pipeline e adottando policy di “zero‑trust” per le API interne. Inoltre, la collaborazione con le agenzie di sicurezza (CISA, FBI) è diventata parte integrante della governance, con report mensili di threat intelligence che guidano le priorità di patching.

Prospettive e Scenari

Guardando al futuro, la pressione su GitLab e piattaforme analoghe si intensificherà. L’avvento di AI‑assisted attack tooling ridurrà i tempi di scoperta e sfruttamento di vulnerabilità come quelle di path traversal, rendendo indispensabile l’automazione della risposta (SOAR) e l’adozione di “continuous remediation”. Parallelamente, le autorità di regolamentazione potrebbero introdurre obblighi di disclosure più stringenti per i fornitori di software di sviluppo, con sanzioni per ritardi nella patch. Le imprese dovranno quindi investire in una cultura di “security‑by‑design”, dove la verifica dei percorsi e la sanitizzazione dei dati non siano retrofittate ma integrate fin dalla fase di progettazione delle API. Solo così sarà possibile mitigare il rischio di esposizioni catastrofiche in un ecosistema digitale sempre più interconnesso.