Alertas

Vulnerabilidades críticas detectadas en Gitlab

21 Oct 2026

Vulnerabilidad crítica en GitLab CE/EE - 15/11/226

Introducción

CVE-2026-97229 es una vulnerabilidad que afecta a GitLab Community Edition (CE) y Enterprise Edition (EE), la plataforma DevOps de GitLab para gestión de código fuente y CI/CD. GitLab le ha asignado una puntuación CVSS de 10.0, el máximo posible.

La vulnerabilidad es explotable de forma remota a través de la red (AV:N), con baja complejidad (AC:L), sin privilegios previos (PR:N) y sin interacción del usuario (UI:N). El cambio de ámbito (S:C) indica que la explotación puede traspasar los límites del componente vulnerable. El impacto es alto en confidencialidad, integridad y disponibilidad (C:H/I:H/A:H). En la práctica supone la ejecución remota de código (RCE) sin autenticación en el servidor GitLab.

GitLab corrigió el fallo en las versiones 19.4.2, 19.3.5 y 19.2.8, publicadas el 12 de octubre de 2026. A fecha de este informe, la vulnerabilidad no figura en el catálogo CISA KEV y no se ha confirmado código de explotación público.

Análisis

Se trata de un desbordamiento o envoltura de enteros (CWE-190) en el compilador de expresiones regulares de CI/CD de GitLab. Este componente analiza, compila y evalúa las expresiones regulares de los ficheros de configuración de pipelines de los proyectos. Según GitLab, bajo ciertas condiciones una expresión regular especialmente manipulada y con validación insuficiente puede derivar en ejecución de código arbitrario en el servidor. El fabricante no ha divulgado la función vulnerable exacta, la ruta de la petición ni la cadena de explotación completa.

Respecto a la explotabilidad, el atacante solo necesita alcanzar el servicio por red, por lo que las instancias autoalojadas expuestas a Internet son las de mayor riesgo. GitLab.com ya ejecuta la versión parcheada y los clientes de GitLab Dedicated no necesitan actuar. El riesgo recae por tanto en las instalaciones auto-gestionadas.

En cuanto al impacto, la ejecución de comandos en el contexto del servidor GitLab podría exponer código fuente, variables de CI/CD, tokens de acceso, datos de proyectos, registries y credenciales accesibles desde GitLab. También podría comprometer runners, entornos cloud y sistemas de despliegue conectados. Son consecuencias potenciales de un compromiso del servidor, y no hay evidencia de que se hayan producido con este CVE. Conviene además tener en cuenta que en septiembre de 2026 GitLab corrigió otras dos vulnerabilidades en el mismo componente, CVE-2026-93577 y CVE-2026-89078. Esto sugiere que esta superficie ha recibido atención reciente y continuada.

LAB52 recomienda actualizar con carácter prioritario a una versión corregida, ya que es la única medida definitiva. Como defensa en profundidad, LAB52 recomienda no exponer GitLab directamente a Internet y restringir el acceso mediante VPN o ZTNA. También recomienda segregar el servidor de los runners, registries y entornos cloud sensibles, y aplicar el principio de mínimo privilegio a los secretos y tokens accesibles desde la instancia. Asimismo, recomienda monitorizar procesos hijo inesperados lanzados por los servicios de GitLab, conexiones salientes anómalas y solicitudes sin autenticar relacionadas con el procesamiento de configuración CI/CD. GitLab no ha publicado indicadores específicos de este CVE, por lo que la detección debe basarse en comportamiento.

Versiones afectadas

Consultar el advisory del fabricante para conocer el detalle de las versiones vulnerables. Según las fuentes consultadas:

GitLab CE/EE 19.2 anteriores a 19.2.8 (corregida en 19.2.8).

GitLab CE/EE 19.3 anteriores a 19.3.5 (corregida en 19.3.5).

GitLab CE/EE 19.4 anteriores a 19.4.2 (corregida en 19.4.2).

Recomendaciones

Aplicar con carácter urgente la actualización oficial a GitLab 19.2.8, 19.3.5, 19.4.2 o una versión posterior soportada, y verificar la versión realmente en ejecución, incluidas las instalaciones en contenedores y Helm (donde la versión del chart difiere de la de la aplicación).

Consultar el advisory y las notas de la release de parche de GitLab para verificar versiones y mitigaciones.

Cuando el parcheo no sea inmediato, restringir el acceso público a GitLab, segregar el servidor de la infraestructura CI/CD sensible y limitar la conectividad con runners, registries y servicios internos.

Revisar el inventario de activos para identificar instalaciones GitLab autoalojadas, en especial las expuestas a Internet.

Monitorizar registros y eventos en busca de procesos inesperados lanzados por servicios de GitLab, nuevos usuarios, tokens, deploy keys, runners o hooks, cambios no esperados en pipelines o repositorios, y conexiones salientes inusuales.

Si se detecta ejecución sospechosa en el servidor, preservar los logs y tratar la instancia como un posible incidente. Investigar y rotar credenciales, tokens, runners e integraciones cloud accesibles desde GitLab.

Workarounds

No existe un workaround soportado por el fabricante que sustituya a la actualización. Las medidas temporales anteriores (restricción de acceso, segmentación y limitación de conectividad) solo reducen la exposición y no sustituyen al parche oficial.