Se ha revelado una vulnerabilidad de seguridad crítica en el Gemini CLI de Google, identificada como CVE-2026-12537. Este fallo permite que atacantes ejecuten código arbitrario en entornos de CI/CD, afectando especialmente a los flujos de trabajo de GitHub Actions. Las versiones impactadas incluyen @google/gemini-cli anteriores a la 0.39.1 y 0.40.0-preview.3, además de la acción de GitHub correspondiente.

Se ha revelado una vulnerabilidad de seguridad crítica en el Gemini CLI de Google, que permite a los atacantes ejecutar código arbitrario en ciertos entornos de CI/CD, particularmente en los flujos de trabajo de GitHub Actions.

El problema, rastreado como CVE-2026-12537, afecta a múltiples versiones del Gemini CLI y a su acción de GitHub relacionada.

La vulnerabilidad afecta a las versiones de @google/gemini-cli anteriores a la 0.39.1 y 0.40.0-preview.3, así como a las versiones de google-github-actions/run-gemini-cli anteriores a la 0.1.22.

Investigadores de seguridad identificaron que el manejo inadecuado de la confianza del espacio de trabajo y las políticas de ejecución de herramientas podría exponer los sistemas a la ejecución remota de código (RCE).

Vulnerabilidad de Gemini CLI

La causa raíz reside en cómo el Gemini CLI gestionaba anteriormente los entornos "headless" (sin interfaz), como los canales automatizados de CI. En versiones anteriores, el CLI confiaba automáticamente en las carpetas del espacio de trabajo cuando se ejecutaba en modo no interactivo.

Esto significaba que los archivos de configuración, incluidas las variables de entorno almacenadas en directorios locales como .gemini/.env, se cargaban sin verificación. Un atacante podría explotar este comportamiento inyectando variables de entorno maliciosas en un repositorio.

Cuando un flujo de trabajo de CI procesaba una entrada no confiable, como una solicitud de extracción (pull request), el Gemini CLI cargaba estas variables y potencialmente ejecutaba comandos arbitrarios.

Esto crea una ruta directa hacia la ejecución remota de código sin requerir la interacción del usuario. Además, un segundo problema involucraba el modo --yolo, donde el Gemini CLI ignoraba las listas de permitidos de herramientas detalladas.

Si los flujos de trabajo permitían la ejecución de comandos de shell, los atacantes podrían aprovechar técnicas de inyección de prompts para ejecutar comandos no autorizados. Esto aumentó significativamente el riesgo en los canales automatizados que manejan datos no confiables.

La vulnerabilidad ha sido calificada como crítica, con métricas CVSS que indican una explotación basada en red, baja complejidad de ataque y que no requiere privilegios ni interacción del usuario.

Una explotación exitosa puede resultar en el compromiso completo de la confidencialidad, integridad y disponibilidad. Notablemente, el fallo permite la ejecución de código a nivel de host antes del sandbox en algunos entornos de CI.

Esto significa que los atacantes podrían evadir las restricciones previstas y ejecutar comandos directamente en el sistema host que ejecuta el canal.

Por ejemplo, un colaborador malicioso podría enviar un pull request que contenga un archivo .gemini/.env manipulado. Si el canal de CI utiliza una versión vulnerable de Gemini CLI, confiaría y cargaría el archivo automáticamente.

Esto podría activar la ejecución de comandos incrustados, permitiendo al atacante acceder a secretos, modificar artefactos de compilación o saltar a otros sistemas.

Google ha lanzado versiones parcheadas que solucionan estos problemas. El Gemini CLI actualizado impone la confianza explícita del espacio de trabajo en modo headless, alineándolo con el comportamiento interactivo.

Los archivos de configuración ya no se cargan a menos que el espacio de trabajo esté marcado explícitamente como confiable. La actualización también garantiza que la lista de permitidos de herramientas se aplique incluso en el modo --yolo, evitando la ejecución de comandos sin restricciones.

Se te recomienda encarecidamente que:

Actualices a la versión 0.39.1 o 0.40.0-preview.3 de Gemini CLI, y a la versión 0.1.22 o posterior de run-gemini-cli. Revisa los flujos de trabajo de CI/CD que procesen entradas no confiables.

Configura la variable de entorno GEMINI_TRUST_WORKSPACE como "true" solo para repositorios confiables. Implementa listas de permitidos de herramientas estrictas y evita habilitar la ejecución de comandos innecesarios.

Rastreada como el aviso GHSA-wpqr-6v78-jr5g, la vulnerabilidad fue revelada responsablemente por investigadores de seguridad de Novee Security y Pillar Security.

Dado el uso generalizado de canales automatizados, esta vulnerabilidad resalta los riesgos de la confianza implícita en los entornos de CI. Refuerza la necesidad de una validación estricta de las entradas y controles de ejecución.