GitLab ha lanzado parches de seguridad de emergencia para múltiples versiones de su plataforma, abordando ocho vulnerabilidades que podrían permitir la ejecución de código arbitrario y el acceso no autorizado en instalaciones autogestionadas. Las versiones actualizadas 18.7.1, 18.6.3 y 18.5.5 se implementaron en GitLab.com el 7 de enero de 2026, y se recomienda encarecidamente a los clientes que alojan la plataforma por sí mismos que actualicen inmediatamente. 

GitLab ha publicado parches de seguridad de emergencia para múltiples versiones de su plataforma, abordando ocho vulnerabilidades que podrían permitir la ejecución de código arbitrario y el acceso no autorizado en instalaciones autogestionadas. Las versiones actualizadas 18.7.1, 18.6.3 y 18.5.5 se implementaron en GitLab.com el 7 de enero de 2026, y se recomienda encarecidamente a los clientes que alojan sus propias instalaciones que actualicen inmediatamente. La vulnerabilidad más grave, CVE-2025-9222, afecta a las ediciones Community y Enterprise de GitLab y tiene una puntuación CVSS de 8.7. Este scripting entre sitios (XSS) almacenado en los marcadores de posición de GitLab Flavored Markdown podría permitir a los atacantes autenticados ejecutar código malicioso dentro de los navegadores de las víctimas. Las versiones afectadas van desde la 18.2.2 hasta la 18.7.0, lo que afecta a una amplia gama de implementaciones. Un segundo problema de alta gravedad, CVE-2025-13761, afecta al componente Web IDE y tiene una puntuación CVSS de 8.0. Esta falla permite a los atacantes ejecutar código malicioso atrayendo a los usuarios conectados a páginas web maliciosas, lo que puede secuestrar sesiones y conducir al acceso no autorizado a los repositorios. Los clientes de Enterprise Edition enfrentan riesgos adicionales por CVE-2025-13772, un error de autorización faltante en la API de Duo Workflows que permite a los usuarios autenticados acceder a la configuración del modelo de IA desde espacios de nombres no autorizados. Descubierta internamente por la ingeniera de GitLab, Jessie Young, esta falla tiene una puntuación CVSS de 7.1.

Vulnerabilidades e Impacto Adicionales

La actualización de seguridad también aborda problemas de gravedad media, incluyendo vulnerabilidades de denegación de servicio en la funcionalidad de importación (CVE-2025-10569). Controles de acceso insuficientes en las mutaciones de GraphQL que podrían permitir modificaciones no autorizadas del ejecutor (CVE-2025-11246). Un error de divulgación de información de baja gravedad en la representación de diagramas Mermaid (CVE-2025-3950) completa el conjunto de parches. El equipo de seguridad de GitLab enfatiza que todos los tipos de implementación, paquetes Omnibus, instalaciones de código fuente y gráficos Helm requieren una actualización inmediata. Las instancias de un solo nodo experimentarán tiempo de inactividad durante las actualizaciones debido a las migraciones de la base de datos obligatorias. Al mismo tiempo, las implementaciones de varios nodos pueden lograr actualizaciones sin tiempo de inactividad siguiendo los procedimientos adecuados. Las vulnerabilidades fueron reportadas a través del programa de recompensas por errores de GitLab HackerOne, con el investigador yvvdwf acreditado por descubrir la falla XSS crítica. GitLab mantiene una política de divulgación de 30 días, bajo la cual los informes de problemas detallados se hacen públicos en su rastreador después de la publicación del parche. Los administradores de GitLab autogestionados deben consultar la documentación oficial de actualización y suscribirse al feed RSS de lanzamientos de seguridad de GitLab para futuras notificaciones de parches.

GitLab ha publicado parches de seguridad de emergencia para múltiples versiones de su plataforma, abordando ocho vulnerabilidades que podrían permitir la ejecución de código arbitrario y el acceso no autorizado en instalaciones autogestionadas. Las versiones actualizadas 18.7.1, 18.6.3 y 18.5.5 se implementaron en GitLab.com el 7 de enero de 2026, y se recomienda encarecidamente a los clientes que alojan sus propias instalaciones que actualicen inmediatamente. La vulnerabilidad más grave, CVE-2025-9222, […] GitLab ha publicado parches de seguridad de emergencia para múltiples versiones de su plataforma, abordando ocho vulnerabilidades que podrían permitir la ejecución de código arbitrario y el acceso no autorizado en instalaciones autogestionadas. Las versiones actualizadas 18.7.1, 18.6.3 y 18.5.5 se implementaron en GitLab.com el 7 de enero de 2026, y se recomienda encarecidamente a los clientes que alojan sus propias instalaciones que actualicen inmediatamente.

Fuentes:
https://cybersecuritynews.com/gitlab-code-execution-vulnerabilities/