Falla crítica de GitLab que deja ejecutar código sin clave ya se explota

La agencia de ciberseguridad de Estados Unidos (CISA) sumó el 29 de octubre a su catálogo de vulnerabilidades explotadas CVE-2026-97229, una falla de GitLab con la nota máxima de gravedad, 10 sobre 10. Permite que alguien sin usuario ni contraseña ejecute código en el servidor de GitLab, donde se guardan el código fuente y las claves de los proyectos. GitLab la había corregido el 12 de octubre, según su aviso de seguridad, así que el riesgo está en los servidores que todavía no se actualizaron.

GitLab es la plataforma donde muchas empresas y organismos guardan su código y automatizan la compilación y publicación de sus sistemas. Según la empresa, la usan más de 30 millones de usuarios registrados, citó BleepingComputer.

Qué es la falla

Es un desbordamiento de enterosError de cálculo en el que el resultado de una operación supera el valor máximo que puede guardar el tipo de número usado y da la vuelta; si ese valor se usa como tamaño o posición, el programa puede acceder a memoria indebida., un error en el que un número supera el máximo que el programa puede guardar y "da la vuelta", lo que corrompe la memoria. Ocurre cuando GitLab procesa una expresión regular (un patrón de búsqueda de texto) escrita a propósito dentro de la configuración de integración y entrega continua (CI/CD), la parte que automatiza las compilaciones. El error está en Onigmo, el motor de expresiones regulares de Ruby, el lenguaje en el que está escrito GitLab, según el aviso de Ruby del 23 de octubre.

Se ataca por la red, sin autenticación ni interacción del usuario. El aviso de GitLab dice que la ejecución de código es posible "bajo ciertas condiciones", que no detalló.

A quién afecta

• GitLab Community Edition y Enterprise Edition instalados en servidores propios, de la 19.2 a la 19.2.7, de la 19.3 a la 19.3.4 y de la 19.4 a la 19.4.1.
• GitLab.com y GitLab Dedicated ya estaban corregidos antes del aviso.
• CISA advierte que otros productos que usan el mismo motor de Ruby pueden estar afectados.

Estado de explotación

Explotada. Lo dice CISA, que la dio de alta en su catálogo KEV el 29 de octubre y les dio a las agencias federales de Estados Unidos plazo hasta el 1 de noviembre para corregirla, con revisión forense de los equipos. Ni CISA ni GitLab publicaron detalles de los ataques, quién los hace ni contra quién. Antes del alta, ni GitLab ni Censys habían reportado ataques. Rapid7 publicó una prueba de concepto el 13 de octubre, según Censys, que ese día contó unos 25.800 servidores de GitLab con versiones vulnerables visibles desde internet, casi un tercio de los que detectó. Censys no publicó cifras por país de Latinoamérica.

Antecedentes

Es la segunda falla de GitLab que entra al catálogo de CISA en dos meses. En septiembre sumó CVE-2026-85706, otra de puntaje máximo, que permitía leer datos sensibles sin autenticación.

Qué hacer

• Actualizar GitLab a 19.5.1, 19.4.3, 19.3.6 o 19.2.9, las versiones del 21 de octubre. Las del 12 de octubre corrigen esta falla, pero no CVE-2026-110264, otra de puntaje 10 en el mismo motor, según el aviso de GitLab del 21 de octubre.
• Si no se puede actualizar ya, limitar el acceso desde internet a la interfaz web de GitLab, como recomienda Censys.
• Revisar los registros con las detecciones que publicó GitLab, como caídas del proceso de Onigmo y ráfagas de errores al validar configuraciones de CI/CD.
• Si hubo señales de ataque, cambiar las claves y los tokensUnidad mínima de texto que procesa un modelo de lenguaje, como una palabra, parte de una palabra o un signo. Se usa para medir cuánto lee y escribe un modelo y para cobrar su uso. guardados en GitLab y revisar los cambios recientes en el código.

Ficha técnica

• CVE: CVE-2026-97229, CVSS 3.1 de 10, vector AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H (ficha de NVD).
• CWE: CWE-190 (desbordamiento o vuelta de enteros).
• Versiones corregidas: 19.2.8, 19.3.5 y 19.4.2, del 12 de octubre. BleepingComputer publicó 19.3.4 para la rama 19.3; el aviso de GitLab y Censys dicen 19.3.5.
• Versiones recomendadas: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 y 18.11.13, del 21 de octubre.
• Ruby corregido: 4.0.9, 3.4.12 y 3.3.13, para otras aplicaciones que compilan expresiones regulares recibidas de terceros.
• Descubridor: el investigador conocido como joaxcar, por el programa de recompensas de GitLab.
• Aviso del fabricante: GitLab 19.4.2, del 12 de octubre de 2026.
• Alta en el catálogo KEVcatálogo de vulnerabilidades explotadas conocidas (KEV) Lista pública de la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) que reúne vulnerabilidades con evidencia de explotación activa, para que se prioricen al corregir. de CISA: 29 de octubre de 2026, con plazo al 1 de noviembre para las agencias federales.