Alertas

Vulnerabilidades críticas detectadas en Gitlab

21 Oct 2026

Vulnerabilidad crítica en GitLab CE/EE - 15/11/226

Introducción

CVE-2026-97229 es una vulnerabilidad que afecta a GitLab Community Edition (CE) y Enterprise Edition (EE), la plataforma DevOps de GitLab para gestión de código fuente y CI/CD. GitLab le ha asignado una puntuación CVSS de 10.0, el máximo posible.

La vulnerabilidad es explotable de forma remota a través de la red (AV:N), con baja complejidad (AC:L), sin privilegios previos (PR:N) y sin interacción del usuario (UI:N). El cambio de ámbito (S:C) indica que la explotación puede traspasar los límites del componente vulnerable. El impacto es alto en confidencialidad, integridad y disponibilidad (C:H/I:H/A:H). En la práctica supone la ejecución remota de código (RCE) sin autenticación en el servidor GitLab.

GitLab corrigió el fallo en las versiones 19.4.2, 19.3.5 y 19.2.8, publicadas el 12 de octubre de 2026. A fecha de este informe, la vulnerabilidad no figura en el catálogo CISA KEV y no se ha confirmado código de explotación público.

Análisis

Se trata de un desbordamiento o envoltura de enteros (CWE-190) en el compilador de expresiones regulares de CI/CD de GitLab. Este componente analiza, compila y evalúa las expresiones regulares de los ficheros de configuración de pipelines de los proyectos. Según GitLab, bajo ciertas condiciones una expresión regular especialmente manipulada y con validación insuficiente puede derivar en ejecución de código arbitrario en el servidor. El fabricante no ha divulgado la función vulnerable exacta, la ruta de la petición ni la cadena de explotación completa.

Respecto a la explotabilidad, el atacante solo necesita alcanzar el servicio por red, por lo que las instancias autoalojadas expuestas a Internet son las de mayor riesgo. GitLab.com ya ejecuta la versión parcheada y los clientes de GitLab Dedicated no necesitan actuar. El riesgo recae por tanto en las instalaciones auto-gestionadas.

En cuanto al impacto, la ejecución de comandos en el contexto del servidor GitLab podría exponer código fuente, variables de CI/CD, tokens de acceso, datos de proyectos, registries y credenciales accesibles desde GitLab. También podría comprometer runners, entornos cloud y sistemas de despliegue conectados. Son consecuencias potenciales de un compromiso del servidor, y no hay evidencia de que se hayan producido con este CVE. Conviene además tener en cuenta que en septiembre de 2026 GitLab corrigió otras dos vulnerabilidades en el mismo componente, CVE-2026-93577 y CVE-2026-89078. Esto sugiere que esta superficie ha recibido atención reciente y continuada.

LAB52 recomienda actualizar con carácter prioritario a una versión corregida, ya que es la única medida definitiva. Como defensa en profundidad, LAB52 recomienda no exponer GitLab directamente a Internet y restringir el acceso mediante VPN o ZTNA. También recomienda segregar el servidor de los runners, registries y entornos cloud sensibles, y aplicar el principio de mínimo privilegio a los secretos y tokens accesibles desde la instancia. Asimismo, recomienda monitorizar procesos hijo inesperados lanzados por los servicios de GitLab, conexiones salientes anómalas y solicitudes sin autenticar relacionadas con el procesamiento de configuración CI/CD. GitLab no ha publicado indicadores específicos de este CVE, por lo que la detección debe basarse en comportamiento.

Versiones afectadas

Consultar el advisory del fabricante para conocer el detalle de las versiones vulnerables. Según las fuentes consultadas:

GitLab CE/EE 19.2 anteriores a 19.2.8 (corregida en 19.2.8).

GitLab CE/EE 19.3 anteriores a 19.3.5 (corregida en 19.3.5).

GitLab CE/EE 19.4 anteriores a 19.4.2 (corregida en 19.4.2).

Recomendaciones

Aplicar con carácter urgente la actualización oficial a GitLab 19.2.8, 19.3.5, 19.4.2 o una versión posterior soportada, y verificar la versión realmente en ejecución, incluidas las instalaciones en contenedores y Helm (donde la versión del chart difiere de la de la aplicación).

Consultar el advisory y las notas de la release de parche de GitLab para verificar versiones y mitigaciones.

Cuando el parcheo no sea inmediato, restringir el acceso público a GitLab, segregar el servidor de la infraestructura CI/CD sensible y limitar la conectividad con runners, registries y servicios internos.

Revisar el inventario de activos para identificar instalaciones GitLab autoalojadas, en especial las expuestas a Internet.

Monitorizar registros y eventos en busca de procesos inesperados lanzados por servicios de GitLab, nuevos usuarios, tokens, deploy keys, runners o hooks, cambios no esperados en pipelines o repositorios, y conexiones salientes inusuales.

Si se detecta ejecución sospechosa en el servidor, preservar los logs y tratar la instancia como un posible incidente. Investigar y rotar credenciales, tokens, runners e integraciones cloud accesibles desde GitLab.

Workarounds

No existe un workaround soportado por el fabricante que sustituya a la actualización. Las medidas temporales anteriores (restricción de acceso, segmentación y limitación de conectividad) solo reducen la exposición y no sustituyen al parche oficial.

Referencias

https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-4-2-released/

https://helpnetsecurity.com/2026/10/13/gitlab-ci-cd-regular-expression-compiler-vulnerability-cve-2026-97229

https://nvd.nist.gov/vuln/detail/CVE-2026-97229

CWE-190: Integer Overflow or Wraparound

Vulnerabilidad crítica en GitLab CE/EE - 22/10

Introducción

CVE-2026-110264 es una vulnerabilidad crítica de ejecución remota de código (RCE) que afecta a GitLab Community Edition (CE) y Enterprise Edition (EE), la plataforma DevSecOps de GitLab Inc. empleada para alojar repositorios Git, gestionar incidencias y ejecutar pipelines de CI/CD en infraestructura propia. Según el fabricante, el fallo podría haber permitido, bajo determinadas condiciones, que un usuario no autenticado ejecutara código arbitrario en el servidor GitLab debido a un desbordamiento de entero al compilar una expresión regular especialmente manipulada.

La vulnerabilidad tiene una puntuación CVSS 3.1 de 10.0 (Crítico). El vector de ataque es remoto (AV:N), de baja complejidad (AC:L), no requiere privilegios (PR:N) ni interacción del usuario (UI:N). El ámbito es modificado (S:C), lo que implica que la explotación traspasa los límites del componente vulnerable —el motor de expresiones regulares— y compromete el proceso de la aplicación y el entorno del host. El impacto es Alto en confidencialidad, integridad y disponibilidad (C:H/I:H/A:H), lo que en la práctica supone el control del servidor GitLab con los privilegios de su cuenta de servicio.

GitLab publicó el 21 de octubre de 2026 las versiones 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 y 18.11.13 para CE y EE, y GitLab.com ya ejecuta la versión corregida, mientras que los tenants de GitLab Dedicated en 19.3.5-internal0 y 19.4.2-internal0 o posteriores ya incluyen la corrección. A fecha de 22 de octubre de 2026 no hay indicios de explotación activa y la vulnerabilidad no figura en el catálogo KEV de CISA. Existe un repositorio público que se presenta como PoC, aunque su propio autor reconoce que no está verificado que su payload ejercite el fallo concreto de CVE-2026-110264.

Análisis

CVE-2026-110264 se clasifica como un desbordamiento de entero (CWE-190) en el compilador de expresiones regulares. Las notas de versión de GitLab hacen referencia a parches sobre el manejo de expresiones regulares de Ruby, y los análisis publicados sitúan el componente afectado en Onigmo, el motor de expresiones regulares de Ruby incluido en los paquetes de GitLab. Según el análisis técnico disponible, Onigmo numera cada repetición contada (por ejemplo {0,100}) con un "repeat ID" que almacena como valor de 16 bits con signo en el programa compilado, y el parche de omnibus-gitlab es un backport directo del PR #16801 de Ruby, que rechaza IDs de repetición desbordados en expresiones regulares de gran tamaño.

En cuanto al vector de entrada, las detecciones publicadas por GitLab describen que la gema org-ruby, que renderiza ficheros .org, interpola sin escapar la palabra clave de la línea #+TODO: en Regexp.new; una palabra clave con más de 32.767 repeticiones desborda el repeat ID de 16 bits con signo y provoca una escritura fuera de límites en tiempo de coincidencia, que puede convertirse en una llamada a system(). Cabe señalar que el advisory oficial no detalla la entrada exacta controlada por el atacante, el endpoint ni las condiciones necesarias para alcanzar el código vulnerable, por lo que estos detalles proceden de análisis de terceros y de las reglas de detección del fabricante.

Desde el punto de vista de la explotabilidad, el vector PR:N indica que no se requiere autenticación, lo que expone de forma especialmente grave a las instancias autogestionadas accesibles desde Internet. El alcance temporal es excepcional: están afectadas todas las versiones desde la 7.0, es decir, prácticamente cualquier despliegue no actualizado.

El impacto de una explotación exitosa es muy elevado, ya que GitLab concentra código fuente, variables y secretos de CI/CD, tokens de acceso, claves de despliegue y credenciales de registros de paquetes y contenedores. Un atacante con ejecución de código en el servidor podría manipular la cadena de suministro de software, exfiltrar propiedad intelectual y pivotar hacia los entornos conectados a los pipelines.

Para mitigar esta vulnerabilidad, la medida prioritaria y definitiva es actualizar de inmediato a 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 o 18.11.13 según la rama. Como medidas adicionales de defensa en profundidad, LAB52 recomienda no exponer directamente las instancias GitLab a Internet y situarlas tras VPN o ZTNA, restringir el acceso anónimo y la visibilidad pública de proyectos, deshabilitar el registro abierto, aplicar el principio de mínimo privilegio a la cuenta de servicio y a los runners, y desplegar las dos detecciones publicadas por GitLab: caída de workers nativos de Onigmo y ráfagas de errores en el renderizado de Org mode.

Versiones afectadas

Consultar el advisory del fabricante para conocer el detalle de las versiones vulnerables.

GitLab CE/EE:

Todas las versiones desde la 7.0 anteriores a la 18.11.13.

19.0 anteriores a la 19.0.10.

19.1 anteriores a la 19.1.9.

19.2 anteriores a la 19.2.9.

19.3 anteriores a la 19.3.6.

19.4 anteriores a la 19.4.3.

19.5 anteriores a la 19.5.1.

Recomendaciones

Aplicar con carácter urgente la actualización oficial que corrige CVE-2026-110264 (19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 o 18.11.13), teniendo en cuenta que las versiones parcheadas frente a CVE-2026-97229 siguen siendo vulnerables.

Consultar el advisory del fabricante para verificar versiones, notas de migración de base de datos y posibles tiempos de parada en instancias de un solo nodo.

Implementar controles compensatorios mientras no sea posible parchear, como restringir el acceso a la instancia a redes de confianza mediante VPN/ZTNA, limitar el acceso anónimo y deshabilitar el registro abierto.

Revisar el inventario de activos para identificar todas las instalaciones GitLab autogestionadas, priorizando las expuestas a Internet y las versiones heredadas sin soporte.

Monitorizar registros y eventos de seguridad en busca de caídas de workers nativos (Puma/Sidekiq) vinculadas a Onigmo, ráfagas de errores al renderizar ficheros .org y ficheros .org con líneas #+TODO: anómalamente largas.

Ante cualquier caída inexplicada de workers o actividad sospechosa en instancias expuestas no parcheadas, tratar el caso como un posible incidente y rotar los secretos y tokens almacenados en GitLab.