Aggiornamento di sicurezza GitLab: correzioni per vulnerabilità di autenticazione e denial of service

Introduzione rapida per gli utenti

Se utilizzi GitLab per gestire i tuoi progetti di sviluppo software, è importante che tu sappia che è stato scoperto un problema di sicurezza serio che potrebbe permettere a utenti malintenzionati di aggirare la protezione dell’autenticazione a due fattori (2FA). La buona notizia? GitLab ha già rilasciato una correzione e raccomanda a tutti gli amministratori di aggiornare immediatamente le proprie installazioni.

In pratica, se gestisci un’installazione GitLab self-managed, devi:

1. Aggiornare alla versione 18.8.2, 18.7.2 o 18.6.4 il prima possibile
2. Se utilizzi GitLab.com o GitLab Dedicated, non devi fare nulla: sei già protetto
3. Se non sai quale versione stai utilizzando, contatta il tuo team IT

Questa non è una situazione di emergenza assoluta, ma è importante non rimandare l’aggiornamento.

Cosa è successo: le vulnerabilità spiegate

GitLab ha identificato e corretto quattro vulnerabilità principali nelle sue versioni Community Edition (CE) e Enterprise Edition (EE). Ecco cosa devi sapere:

La vulnerabilità critica: bypass dell’autenticazione a due fattori

La vulnerabilità più seria è stata tracciata come CVE-2026-0723. Questa falla nel sistema di autenticazione di GitLab potrebbe consentire a un utente malintenzionato di aggirare la protezione 2FA se conosce l’ID dell’account della vittima. In pratica, un attaccante potrebbe inviare risposte di dispositivo falsificate per ottenere accesso a un account protetto da autenticazione a due fattori.

Questa vulnerabilità interessava le versioni:

• GitLab 18.6 prima della 18.6.4
• GitLab 18.7 prima della 18.7.2
• GitLab 18.8 prima della 18.8.2

Vulnerabilità di denial of service (DoS)

Inoltre, GitLab ha corretto due vulnerabilità ad alta gravità che potevano causare interruzioni di servizio:

CVE-2025-13927: Un attaccante non autenticato potrebbe inviare richieste appositamente costruite con dati di autenticazione malformati per causare un’interruzione del servizio.

CVE-2025-13928: Un’altra falla nel sistema di autorizzazione dell’API Releases potrebbe consentire a utenti non autenticati di causare condizioni di denial of service sfruttando una validazione di autorizzazione non corretta.

GitLab ha anche corretto due vulnerabilità di gravità media:

CVE-2025-13335: Potrebbe essere sfruttata configurando documenti Wiki malformati che aggirino il rilevamento dei cicli.

CVE-2026-1102: Potrebbe essere attivata inviando ripetute richieste di autenticazione SSH malformate.

Chi è interessato

Se gestisci un’installazione GitLab self-managed, sei potenzialmente interessato. Le statistiche mostrano che:

• Circa 6.000 istanze di GitLab CE sono attualmente esposte online e monitorate
• Oltre 45.000 dispositivi hanno un’impronta digitale GitLab rilevabile

Questo significa che molte organizzazioni potrebbero essere vulnerabili se non aggiornano rapidamente.

Cosa fare adesso

Per gli amministratori GitLab

GitLab raccomanda fortemente a tutti gli amministratori di installazioni self-managed di aggiornare immediatamente alle seguenti versioni:

• GitLab CE/EE 18.8.2
• GitLab CE/EE 18.7.2
• GitLab CE/EE 18.6.4

Questi aggiornamenti contengono correzioni di bug importanti e patch di sicurezza critiche.

Per gli utenti di GitLab.com

Se utilizzi GitLab.com (il servizio ospitato), non devi fare nulla. GitLab ha già distribuito le versioni patchate sui suoi server.

Per i clienti GitLab Dedicated

Se sei un cliente GitLab Dedicated, non è necessaria alcuna azione da parte tua. GitLab gestisce automaticamente gli aggiornamenti.

Timeline e contesto

Queste vulnerabilità sono state identificate e corrette rapidamente. GitLab ha annunciato le patch il 21 gennaio 2026, dimostrando un processo di risposta relativamente veloce alla scoperta delle falle di sicurezza.

L’ampiezza dell’impatto potenziale (con migliaia di istanze esposte) rende questi aggiornamenti particolarmente importanti per la comunità di sviluppo.

Implicazioni per la sicurezza

Queste vulnerabilità sottolineano l’importanza di:

• Mantenere i sistemi aggiornati: gli aggiornamenti di sicurezza non dovrebbero essere rimandati
• Monitorare le comunicazioni di sicurezza: iscriviti alle notifiche di sicurezza di GitLab
• Implementare autenticazione multi-fattore: anche se potenzialmente vulnerabile, 2FA rimane una protezione importante
• Controllare regolarmente gli accessi: verifica chi ha accesso ai tuoi account GitLab

Technical Deep Dive

Analisi tecnica delle vulnerabilità

CVE-2026-0723 – Unchecked Return Value in Authentication Services

Questa vulnerabilità rappresenta un classico errore di programmazione: il mancato controllo del valore di ritorno in un’operazione critica. Nel contesto del sistema di autenticazione di GitLab, il servizio di autenticazione non verificava correttamente se un’operazione di validazione del dispositivo 2FA fosse riuscita. Un attaccante con conoscenza dell’ID credenziale della vittima potrebbe sfruttare questo difetto inviando risposte di dispositivo falsificate. Il sistema, non controllando il valore di ritorno, procederebbe come se l’autenticazione fosse riuscita. Questo tipo di vulnerabilità è particolarmente insidioso perché il flusso logico sembra corretto a prima vista, ma la mancanza di validazione del risultato crea un percorso di bypass.

CVE-2025-13927 e CVE-2025-13928 – Authorization and Validation Flaws

Entrambe queste vulnerabilità ruotano attorno a difetti nella validazione e autorizzazione. CVE-2025-13927 consente a un attaccante di inviare dati di autenticazione malformati, causando un’eccezione non gestita che porta a una condizione di denial of service. CVE-2025-13928, con un CVSS score di 7.5, è ancora più grave: sfrutta un’errata validazione di autorizzazione nell’API Releases. L’attaccante non autenticato può effettuare richieste che dovrebbero essere protette da controlli di autorizzazione, ma a causa della logica difettosa, queste richieste vengono elaborate, causando un carico eccessivo sul sistema.

CVE-2025-13335 – Wiki Cycle Detection Bypass

Questa vulnerabilità riguarda il sistema di gestione Wiki di GitLab. Il meccanismo di rilevamento dei cicli, che dovrebbe prevenire i riferimenti circolari nei documenti Wiki, può essere aggirato configurando documenti malformati. Quando il sistema tenta di elaborare questi documenti, il rilevamento dei cicli fallisce, causando un’elaborazione infinita o eccessiva che consuma risorse.

CVE-2026-1102 – SSH Authentication DoS

Questa vulnerabilità di gravità media consente a un attaccante di inviare ripetute richieste di autenticazione SSH malformate. Ogni richiesta causa un’eccezione nel servizio SSH di GitLab. Senza un rate limiting appropriato o un meccanismo di throttling, queste richieste accumulate possono consumare le risorse del server, portando a una condizione di denial of service.

Versioni interessate e timeline di patch

L’analisi delle versioni interessate rivela un pattern interessante:

• CVE-2026-0723 interessa solo le versioni recenti (18.6+), suggerendo che sia stata introdotta in un refactoring recente del codice di autenticazione
• CVE-2026-1102 interessa versioni molto più vecchie (dalla 12.3), indicando una falla di lunga data
• CVE-2025-13927 e CVE-2025-13928 interessano versioni dalla 17.7 in poi

Questa distribuzione suggerisce che GitLab ha fatto un audit di sicurezza approfondito, scoprendo sia vulnerabilità nuove che problemi storici.

Raccomandazioni per i team di sviluppo

Per i team che gestiscono istanze GitLab self-managed:

1. Pianificare l’aggiornamento: anche se urgente, pianifica la finestra di manutenzione per minimizzare l’impatto
2. Testare in staging: applica prima i patch a un ambiente di test
3. Monitorare i log: dopo l’aggiornamento, monitora i log di autenticazione per attività sospette
4. Rivedere gli accessi recenti: verifica se ci sono stati accessi non autorizzati durante il periodo di vulnerabilità
5. Implementare best practices: considera di implementare IP whitelisting e rate limiting aggiuntivi

Strumenti di monitoraggio e detection

Organizzazioni come Shadowserver e Shodan stanno già tracciando istanze GitLab esposte. Se gestisci un’istanza GitLab:

• Verifica se la tua istanza appare nei database di ricerca pubblici
• Implementa firewall rules per limitare l’accesso alle porte GitLab
• Usa VPN o reti private per accedere all’istanza di gestione
• Configura SSL/TLS per tutte le comunicazioni