Se han lanzado parches de seguridad críticos que abordan cinco vulnerabilidades en las versiones 18.8.2, 18.7.2 y 18.6.4, tanto para la Community Edition (CE) como para la Enterprise Edition (EE). Estos parches resuelven problemas que van desde fallos de autenticación de alta gravedad hasta condiciones de denegación de servicio que afectan la funcionalidad principal de la plataforma.

Se han lanzado parches de seguridad críticos que abordan cinco vulnerabilidades en las versiones 18.8.2, 18.7.2 y 18.6.4, tanto para la Community Edition (CE) como para la Enterprise Edition (EE).

Los parches resuelven problemas que van desde fallos de autenticación de alta gravedad hasta condiciones de denegación de servicio que afectan a la funcionalidad principal de la plataforma.

Vulnerabilidad crítica de bypass de 2FA

La vulnerabilidad más grave es CVE-2026-0723, un problema de valor de retorno no verificado en los servicios de autenticación que permite eludir la autenticación de dos factores (2FA).

Un atacante con conocimiento del ID de credencial de una víctima podría saltarse las protecciones de 2FA enviando respuestas de dispositivo falsificadas, lo que podría permitirle acceder sin autorización a las cuentas de los usuarios.

Esta vulnerabilidad afecta a las versiones 18.6 a 18.8 y tiene una puntuación CVSS de 7.4, lo que indica un alto riesgo para la confidencialidad e integridad de los datos.

Vulnerabilidades de autorización y DoS

CVE-2025-13927 y CVE-2025-13928 representan amenazas críticas de denegación de servicio.

La CVE-2025-13927 explota la integración con Jira Connect, permitiendo a usuarios no autenticados enviar solicitudes de autenticación malformadas que interrumpen el servicio.

La CVE-2025-13928 implica una validación incorrecta de autorización en la API de Releases, lo que permite condiciones de DoS no autorizadas.

Ambas tienen puntuaciones CVSS de 7.5 y afectan a amplios rangos de versiones, desde la 11.9 y 17.7, respectivamente.

La CVE-2025-13335 consiste en una vulnerabilidad de bucle infinito en las redirecciones de Wiki, que los usuarios autenticados pueden explotar enviando documentos Wiki malformados que evitan la detección de ciclos.

La CVE-2026-1102 afecta al endpoint de API mediante solicitudes repetidas de autenticación SSH malformadas desde fuentes no autenticadas, con una puntuación CVSS más baja (5.3), pero con versiones afectadas desde la 12.3 en adelante.

GitLab recomienda encarecidamente actualizar de inmediato todas las instalaciones autogestionadas. Los usuarios de GitLab.com ya están protegidos, y los clientes de Dedicated no requieren ninguna acción.

Las migraciones de base de datos pueden causar tiempo de inactividad en instancias de un solo nodo, aunque los despliegues multinodo pueden implementar procedimientos de cero tiempo de inactividad. Para la versión 18.7.2, están disponibles migraciones posteriores al despliegue.

Las organizaciones deben priorizar las actualizaciones para abordar la vulnerabilidad de bypass de 2FA y evitar posibles compromisos de cuentas. Las notificaciones de parches están disponibles mediante suscripción al feed RSS del canal de lanzamientos de seguridad de GitLab.