GitLab ha lanzado actualizaciones de seguridad urgentes para solucionar una vulnerabilidad crítica (CVE-2026-97229) que permitiría a atacantes ejecutar código arbitrario en los servidores afectados sin necesidad de iniciar sesión. El fallo tiene una puntuación máxima de CVSS de 10.0 y afecta tanto a la Community Edition como a la Enterprise Edition, habiéndose publicado los parches el 12 de octubre de 2026.

GitLab ha lanzado actualizaciones de seguridad urgentes para solucionar una vulnerabilidad crítica que podría permitir a los atacantes ejecutar código arbitrario en los servidores afectados sin necesidad de iniciar sesión.

Identificada como CVE-2026-97229, el fallo tiene la puntuación máxima de CVSS de 10.0 y afecta tanto a GitLab Community Edition como a Enterprise Edition. La empresa publicó los parches el 12 de octubre de 2026.

La vulnerabilidad implica un desbordamiento de enteros en el compilador de expresiones regulares de CI/CD de GitLab. GitLab afirma que una validación insuficiente de las expresiones regulares podría permitir que un atacante no autenticado provoque la ejecución de código mediante una expresión especialmente diseñada dentro de una configuración de CI/CD. Las expresiones regulares son patrones de texto utilizados para coincidir o filtrar datos. En este caso, procesar un patrón malicioso podría comprometer el propio servidor de GitLab.

Según el aviso de seguridad de GitLab, la explotación es posible bajo ciertas condiciones. La descripción publicada no proporciona una secuencia de ataque completa ni identifica las condiciones exactas requeridas.

Sin embargo, el vector CVSS indica acceso a través de la red, baja complejidad de ataque, ningún privilegio requerido y ninguna interacción del usuario. También asigna un impacto alto a la confidencialidad, integridad y disponibilidad.

Se trata de una ejecución de código en el lado del servidor, en lugar de JavaScript malicioso ejecutándose en el navegador de un visitante. Esa diferencia hace que el problema sea particularmente grave para las organizaciones que alojan proyectos de desarrollo en instalaciones de GitLab afectadas.

Una explotación exitosa podría amenazar los datos y la operación del servidor. El aviso de lanzamiento no indica que los atacantes hayan explotado esta vulnerabilidad en ataques reales.

GitLab acreditó al investigador de seguridad joaxcar por informar del problema a través de su programa de recompensas por errores HackerOne. La empresa ya había parcheado vulnerabilidades críticas de regex en GitLab CI/CD en septiembre.

Aquellos fallos anteriores requerían autenticación, mientras que el problema recién revelado podría permitir la explotación sin una cuenta. El aviso no establece si estas vulnerabilidades comparten la misma causa subyacente.

Versiones Afectadas y Actualizaciones Requeridas

Las versiones afectadas son GitLab CE y EE desde la 19.2 antes de la 19.2.8, desde la 19.3 antes de la 19.3.4, y desde la 19.4 antes de la 19.4.2. Debes actualizar inmediatamente las instalaciones autogestionadas afectadas a la versión parcheada correspondiente. GitLab.com ya ejecuta la versión parcheada, y los clientes de GitLab Dedicated no necesitan tomar ninguna medida.

El lanzamiento también aborda otras debilidades de seguridad, incluyendo cross-site scripting, fallos de autorización y un problema relacionado con prompts en GitLab Duo Agent Platform. Actualizaciones de seguridad anteriores de GitLab que cubrían fallos de autorización de CI/CD muestran por qué debes revisar el aviso de parche completo en lugar de centrarte solo en la vulnerabilidad principal.

GitLab advierte que la versión 19.3.4 tiene un error conocido que afecta a las páginas de solicitudes de fusión (merge request) cuando la integración de Ona está habilitada. Se planea una solución para la 19.3.5.

Debes tener en cuenta este problema durante las actualizaciones sin pasar por alto la corrección de seguridad urgente. La guía de seguridad de instancias de GitLab proporciona consejos de protección más amplios.

Fuentes:
https://cybersecuritynews.com/gitlab-vulnerability-code-execution/