GitLab ha lanzado actualizaciones de seguridad urgentes para solucionar dos vulnerabilidades críticas (CVE-2026-89078 y CVE-2026-93577). Estos fallos permitirían que atacantes autenticados ejecutaran código arbitrario en servidores vulnerables mediante el uso de expresiones regulares maliciosas en las configuraciones de CI/CD. Las correcciones ya están disponibles en las versiones 19.4.1, 19.3.3 y 19.2.7, afectando tanto a la edición Community como a la Enterprise.

GitLab ha lanzado actualizaciones de seguridad de emergencia para corregir dos vulnerabilidades críticas que podrían permitir a atacantes autenticados ejecutar código arbitrario en servidores de GitLab vulnerables mediante expresiones regulares especialmente diseñadas en las configuraciones de CI/CD.

Los fallos, identificados como CVE-2026-89078 y CVE-2026-93577, afectan a las instalaciones de GitLab Community Edition y Enterprise Edition.

GitLab publicó las versiones parcheadas 19.4.1, 19.3.3 y 19.2.7 el 23 de septiembre de 2026, e instó a los administradores de instancias autogestionadas a actualizar inmediatamente. GitLab.com ya está ejecutando la versión corregida, mientras que los clientes de GitLab Dedicated no necesitan tomar ninguna medida.

CVE-2026-89078 es una vulnerabilidad de "doble liberación" (double-free) en el analizador de expresiones regulares de GitLab. Bajo ciertas condiciones, un usuario autenticado podría enviar una expresión regular especialmente diseñada a través de una configuración de CI/CD y provocar un manejo de memoria inseguro en el servidor de GitLab.

Un "doble liberación" ocurre cuando el software libera la misma área de memoria más de una vez. A veces, los atacantes pueden explotar esta condición de corrupción de memoria para alterar la ejecución del programa, bloquear servicios o ejecutar código controlado por el atacante.

GitLab calificó el fallo como Crítico con una puntuación CVSS de 9.9. La vulnerabilidad fue reportada a través del programa de recompensas por errores HackerOne de GitLab por el investigador joaxcar.

El segundo problema, CVE-2026-93577, es un desbordamiento de enteros (integer overflow) en el compilador de expresiones regulares. Un desbordamiento de enteros ocurre cuando un valor numérico excede el rango que un programa espera o puede almacenar de forma segura.

En este caso, una regex maliciosa incrustada en una configuración de CI/CD podría desencadenar el error durante la compilación y potencialmente permitir la ejecución de código arbitrario en el servidor de GitLab.

GitLab asignó a CVE-2026-93577 una puntuación CVSS de 9.9, lo que indica una baja complejidad de ataque y consecuencias graves para la confidencialidad, integridad y disponibilidad. A diferencia del problema de doble liberación, esta vulnerabilidad también conlleva un alto impacto en la disponibilidad según la evaluación CVSS de GitLab.

Los errores de GitLab permiten la ejecución de código

Ambos errores críticos afectan a las versiones GitLab CE y EE a partir de la 19.2 y continúan hasta los parches de seguridad recién lanzados. Las instalaciones vulnerables incluyen las versiones de GitLab 19.2 anteriores a la 19.2.7, las versiones de GitLab 19.3 anteriores a la 19.3.3 y las versiones de GitLab 19.4 anteriores a la 19.4.1.

El ataque requiere autenticación, lo que significa que un atacante debe tener acceso a una cuenta de GitLab. Sin embargo, esta condición no debe reducir la urgencia de aplicar el parche.

Muchos entornos de GitLab proporcionan cuentas a desarrolladores, contratistas, colaboradores externos o usuarios de CI/CD. Una cuenta con pocos privilegios podría convertirse en una vía para comprometer el propio servidor de aplicaciones de GitLab.

Dado que los servidores de GitLab suelen alojar código fuente, secretos de CI/CD, credenciales de despliegue, variables de proyecto y tokens de acceso, la ejecución exitosa de código en el lado del servidor podría crear un riesgo mayor en la cadena de suministro.

Un atacante que tome el control de un servidor de GitLab podría intentar acceder a repositorios privados, robar secretos de pipeline, modificar la lógica de compilación o atacar la infraestructura de desarrollo conectada.

El lanzamiento del parche de GitLab corrige el fallo de XSS de alta severidad CVE-2026-84739 en el visor de diferencias de solicitudes de fusión (merge request diff viewer), que podría permitir a usuarios autenticados ejecutar JavaScript en la sesión del navegador de otro usuario (CVSS 8.7).

GitLab también corrigió CVE-2026-92470, un problema de autorización de alta severidad que afecta a la función de resolución de problemas de tareas de Duo AI en GitLab EE. La vulnerabilidad podría permitir que un usuario autenticado acceda a valores sensibles de variables de CI/CD desde trazas de tareas en modo depuración debido a la falta de comprobaciones de autorización.

Si eres administrador de GitLab, debes actualizar los despliegues autogestionados de CE y EE a la versión 19.4.1, 19.3.3 o 19.2.7 lo antes posible. Las actualizaciones incluyen migraciones de base de datos, por lo que los despliegues de un solo nodo deben planificar un tiempo de inactividad mientras finalizan las migraciones. Las instalaciones de múltiples nodos pueden utilizar el proceso de actualización sin tiempo de inactividad de GitLab cuando sea apropiado.

Tú y tu equipo de seguridad también deberíais revisar los cambios recientes en la configuración de CI/CD, especialmente las expresiones regulares recién añadidas o modificadas en los archivos .gitlab-ci.yml.

Revisar los eventos de auditoría de GitLab, la actividad del administrador, el comportamiento inusual de los runners, los cambios inesperados en los pipelines y el acceso a las variables de CI/CD puede ayudarte a identificar un posible mal uso antes o después de aplicar el parche.

Fuentes:
https://cybersecuritynews.com/gitlab-bugs-enable-code-execution/