GitLab ha lanzado actualizaciones de seguridad urgentes para corregir una vulnerabilidad crítica (CVE-2026-110264) que permite a atacantes ejecutar código de forma remota en servidores autogestionados sin necesidad de iniciar sesión. El fallo, que afecta tanto a la Community Edition como a la Enterprise Edition, posee la puntuación máxima de riesgo CVSS de 10.0. Las correcciones fueron publicadas el 21 de octubre de 2026.

GitLab ha lanzado actualizaciones de seguridad urgentes para una vulnerabilidad crítica que podría permitir a los atacantes ejecutar código en servidores autogestionados sin necesidad de iniciar sesión. Identificada como CVE-2026-110264, el fallo tiene la puntuación máxima de CVSS de 10.0 y afecta tanto a GitLab Community Edition como a Enterprise Edition. La empresa publicó las correcciones el 21 de octubre de 2026.

El código afectado se remonta a GitLab 7.0, lanzado en 2014, lo que le da a la vulnerabilidad una historia de aproximadamente 12 años. Esto no significa que los atacantes la hayan estado utilizando durante 12 años. El aviso de GitLab describe el riesgo, pero no informa de ataques confirmados ni proporciona un exploit público.

Fallo de Ejecución Remota de Código en GitLab

Según el aviso de seguridad oficial de GitLab, la vulnerabilidad implica un desbordamiento de enteros cuando el servidor compila una expresión regular especialmente diseñada. Las expresiones regulares son patrones utilizados para coincidir con texto. Bajo ciertas condiciones, el procesamiento de un patrón controlado por un atacante podría permitir la ejecución de código arbitrario en el servidor.

La evaluación CVSS de GitLab describe un ataque basado en red con baja complejidad, sin privilegios de cuenta y sin requerir interacción del usuario. Califica como alto el posible impacto en la privacidad de los datos, la integridad de los datos y la disponibilidad del servicio. Sin embargo, la empresa no ha revelado las condiciones completas necesarias para alcanzar el código vulnerable.

GitLab acreditó al investigador de seguridad joaxcar por informar el problema a través de su programa de recompensas por errores HackerOne. Sus notas de lanzamiento también enumeran parches de expresiones regulares de Ruby, proporcionando más contexto sobre la capa de software afectada sin revelar una ruta de ataque completa. No debes asumir que el fallo requiere acceso a un proyecto o función particular a menos que GitLab confirme dicha restricción.

Versiones Afectadas y Correcciones Disponibles

La vulnerabilidad afecta a las versiones de GitLab CE y EE a partir de la 7.0. GitLab lo ha solucionado en las versiones 18.11.13, 19.0.10, 19.1.9, 19.2.9, 19.3.6, 19.4.3 y 19.5.1. Las versiones anteriores dentro de esas ramas siguen estando afectadas. La empresa extendió la corrección a cuatro ramas más antiguas más allá de sus lanzamientos de parches estándar.

Si eres un cliente de autogestión, debes actualizar inmediatamente. GitLab.com ya ejecuta el software parcheado. Los inquilinos de GitLab Dedicated que ejecutan 19.3.5-internal0, 19.4.2-internal0 o versiones posteriores ya incluyen las correcciones y no requieren ninguna acción, según el aviso. GitLab también indica que cuando un aviso no nombra un tipo de despliegue específico, todos los tipos de despliegue están afectados.

No debes confundir este problema con la anterior vulnerabilidad de ejecución de código de GitLab parcheada el 12 de octubre. Ese fallo independiente, CVE-2026-97229, también involucraba el manejo de expresiones regulares pero afectaba a un rango de versiones diferente. Instalar esa actualización anterior no soluciona esta vulnerabilidad recién revelada.

GitLab ha publicado dos guías de detección para entornos autogestionados, denominadas “Onigmo native worker crash” y “Org mode render error burst”. Estos recursos están destinados a ayudarte, junto con tu equipo de seguridad, a identificar posibles intentos de explotación. Su publicación no es evidencia de que hayan ocurrido ataques, y el aviso de lanzamiento no establece ninguna de estas señales como prueba de un compromiso exitoso.

El lanzamiento del parche soluciona 12 vulnerabilidades en total. Otro problema grave, CVE-2026-15723, tiene una puntuación CVSS de 8.2. Cuando OmniAuth SAML y el auto-enlace LDAP están habilitados, un atacante autenticado podría tomar control de una cuenta existente respaldada por LDAP sin la intervención de la víctima. El CVE-2026-112212, calificado con 7.5, se refiere a respuestas de descubrimiento de OAuth y OpenID Connect envenenadas que podrían redirigir ciertos flujos a un servidor controlado por un atacante.

Estas correcciones siguen a otras actualizaciones de seguridad recientes de GitLab, incluida una vulnerabilidad separada de ejecución de comandos remotos en AI Gateway. Esos informes se refieren a componentes y requisitos de ataque diferentes, por lo que realizar comprobaciones precisas de la versión es más útil que asumir que una sola actualización de GitLab cubre todos los productos relacionados.

Debes revisar las instrucciones de actualización de GitLab antes del despliegue. El aviso advierte que las migraciones de la base de datos pueden afectar el proceso, con tiempos de inactividad para instalaciones de un solo nodo y procedimientos de tiempo de inactividad cero disponibles para configuraciones multi-nodo adecuadas.

Las versiones 19.3.6 y 19.4.3 incluyen migraciones regulares. GitLab normalmente hace públicos los problemas de seguridad detallados 90 días después del parcheo, por lo que no debes retrasar las actualizaciones mientras esperas los detalles técnicos completos.

Las correcciones de GitLab llegan junto con actualizaciones de seguridad para Node.js y PHP, lo que aumenta la carga de trabajo de parcheo para los equipos que ejecutan aplicaciones web y servicios de desarrollo.

Fuentes:
https://cybersecuritynews.com/12-year-old-gitlab-vulnerability/