- GitLab ha risolto la falla CVE-2026-0723, una vulnerabilità che permetteva l'aggiramento della 2FA (autenticazione a due fattori) e il conseguente furto degli account.
- Sono state corrette ulteriori vulnerabilità di tipo DoS (Denial of Service) che interessavano i sistemi di autenticazione, gli endpoint API, il Wiki e il protocollo SSH.
- GitLab sollecita un aggiornamento immediato: circa 6.000 istanze Community Edition (CE) esposte online restano potenziali bersagli.
GitLab ha risolto una vulnerabilità ad alta gravità nelle versioni Community Edition ed Enterprise Edition (CE/EE) che permetteva ai threat actor di aggirare l'autenticazione a due fattori e, potenzialmente, di prendere il controllo degli account degli utenti.
"GitLab ha corretto un problema che avrebbe potuto consentire a un individuo già in possesso del credential ID di una vittima di eludere l'autenticazione a due fattori inviando risposte artefatte dal dispositivo", ha dichiarato l'azienda in un avviso di sicurezza.
Come spiegato, la vulnerabilità era causata dalla mancata verifica di un valore di ritorno nei servizi di autenticazione di GitLab. Di conseguenza, gli aggressori erano in grado di bypassare la 2FA per le vittime di cui conoscevano preventivamente gli ID.
Una campagna strana
Il bug è attualmente tracciato come CVE-2026-0723 e ha ricevuto un punteggio di severità elevato (7.4/10). La falla è stata risolta nelle versioni 18.8.2, 18.7.2 e 18.6.4 di CE/EE.
Nello stesso pacchetto di aggiornamento, GitLab ha corretto altri due bug che permettevano agli aggressori di sferrare attacchi Denial-of-Service (DoS) tramite l'invio di richieste personalizzate con dati di autenticazione malformati e l'abuso di una convalida di autorizzazione errata negli endpoint API. Queste due vulnerabilità, identificate come CVE-2025-13927 e CVE-2025-13928, interessano sia la versione Community che quella Enterprise.
GitLab ha inoltre sistemato due falle DoS attivabili attraverso la configurazione di documenti Wiki malformati o l'invio ripetuto di richieste di autenticazione SSH non conformi. I bug sono tracciati rispettivamente come CVE-2025-13335 e CVE-2026-1102.
In merito a quest'ultima patch, GitLab ha esortato gli utenti ad applicarla senza indugio:
"Queste versioni contengono importanti correzioni di bug e di sicurezza; raccomandiamo caldamente di aggiornare immediatamente tutte le installazioni GitLab self-managed a una di queste release", ha spiegato l'azienda. "GitLab.com sta già utilizzando la versione aggiornata. I clienti di GitLab Dedicated non devono intraprendere alcuna azione".
Citando i dati di Shadowserver, BleepingComputer riporta che attualmente sono circa 6.000 le istanze di GitLab CE esposte online, il che suggerisce un perimetro di attacco piuttosto vasto.