Falla crítica en GitLab permite ejecutar código en el servidor sin autenticación

GitLab publicó el 12 de octubre una actualización de seguridad que corrige una falla de severidad máxima, 10 sobre 10, en sus ediciones Community y Enterprise. Según el aviso de la empresa, la falla podía permitir que un usuario sin autenticar ejecutara código propio en el servidor de GitLab. La empresa recomienda actualizar de inmediato todas las instalaciones propias.

Qué es la falla

GitLab es la plataforma donde muchas empresas guardan su código y automatizan su compilación y despliegue, el proceso conocido como CI/CD. La falla está en el componente que interpreta las expresiones regulares, los patrones de texto que se usan en los archivos de configuración de esos procesos. Con una expresión regular armada a propósito, un atacante podía provocar un desbordamiento de entero, un número que excede el espacio reservado para guardarlo, y a partir de ahí ejecutar código en el servidor sin necesidad de una cuenta.

En términos técnicos, es un desbordamiento de entero (CWE-190) en el compilador de expresiones regulares de CI/CD, causado por una validación insuficiente de las expresiones. Se ataca por red, sin credenciales y sin interacción de ningún usuario, y su alcance sale del componente vulnerable: puede comprometer la confidencialidad, la integridad y la disponibilidad del servidor completo. La registró el investigador joaxcar en el programa de recompensas de GitLab en HackerOne.

A quién afecta

Afecta a GitLab Community Edition (CE) y Enterprise Edition (EE) instalados en servidores propios:

• Versiones 19.2 anteriores a 19.2.8
• Versiones 19.3 anteriores a 19.3.5
• Versiones 19.4 anteriores a 19.4.2

GitLab.com ya corre la versión corregida y los clientes de GitLab Dedicated no tienen que hacer nada, según el aviso.

Estado de explotación

Sin explotación conocida, según el aviso de GitLab del 12 de octubre, que no menciona ataques ni código de prueba público. La empresa publicará el detalle técnico 90 días después de la actualización. GitLab tiene más de 30 millones de usuarios registrados y más de la mitad de las empresas de la lista Fortune 100 usan su plataforma, según BleepingComputer.

Antecedentes

En septiembre, GitLab corrigió otra falla de severidad máxima, CVE-2026-85706, que permitía a atacantes sin autenticar leer datos sensibles. Un día después, la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) la sumó a su catálogo de fallas explotadas y les dio a los organismos federales tres días para corregirla. Desde noviembre de 2021, CISA marcó cinco fallas de GitLab como explotadas, una de ellas usada por bandas de secuestro de datos (ransomwarePrograma malicioso que cifra o bloquea los archivos de una víctima para exigirle un pago a cambio de devolverle el acceso.).

Qué hacer

• Verificar la versión de GitLab instalada en el servidor propio.
• Actualizar a 19.4.2, 19.3.5 o 19.2.8, según la rama. La versión 19.3.4 queda descartada: trae un error en las páginas de solicitudes de fusión que se corrigió en la 19.3.5.
• Prever una interrupción en las instalaciones de un solo nodo: la actualización incluye migraciones de base de datos que tienen que terminar antes de que GitLab arranque. Las instalaciones de varios nodos pueden actualizar sin cortes.
• Revisar en la misma actualización las otras 23 fallas corregidas, cinco de ellas de severidad alta.
• Seguir el aviso de GitLab por si cambia el estado de explotación.

Ficha técnica

• CVE: CVE-2026-97229
• CVSS: 10,0 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H)
• CWE: CWE-190, desbordamiento de entero
• Producto: GitLab CE/EE, compilador de expresiones regulares de CI/CD
• Versiones corregidas: 19.4.2, 19.3.5 y 19.2.8
• Aviso del fabricante: actualización de seguridad 19.4.2 de GitLab, 12 de octubre de 2026
• Catálogo KEV de CISA: no figura (consultado el 12 de octubre)