Más de 1,000 servidores de GitLab siguen vulnerables a un fallo de máxima severidad (CVE-2026-97229) que permite la ejecución remota de código. A pesar de que GitLab lanzó parches hace tres semanas, CISA ha confirmado que la vulnerabilidad está siendo explotada activamente. Se recomienda a todas las instalaciones autogestionadas actualizar sus sistemas inmediatamente para evitar ataques.

Más de 1,000 servidores de GitLab expuestos a Internet siguen sin parchear frente a un fallo de severidad máxima que está siendo explotado activamente en ataques de ejecución remota de código.

Identificada como CVE-2026-97229, esta vulnerabilidad se deriva de una debilidad de desbordamiento de enteros (CWE-190) y fue descubierta en el Compilador de Expresiones Regulares de CI/CD, que analiza y evalúa expresiones regulares en los archivos de configuración de pipeline.

"GitLab ha remediado un problema que, bajo ciertas condiciones, podría haber permitido a un usuario no autenticado ejecutar código arbitrario en el servidor de GitLab a través de una expresión regular especialmente diseñada en una configuración de CI/CD, debido a una validación insuficiente de la expresión regular", explicó la compañía el 12 de octubre cuando lanzó los parches de seguridad para abordar el problema en las versiones 19.4.2, 19.3.5 y 19.2.8 de GitLab Community Edition (CE) y Enterprise Edition (EE).

"Estas versiones contienen correcciones importantes de errores y seguridad, y recomendamos encarecidamente que todas las instalaciones de GitLab autogestionadas se actualicen a una de estas versiones inmediatamente. GitLab.com ya está ejecutando la versión parcheada. Los clientes de GitLab Dedicated no necesitan tomar ninguna acción", añadió.

El viernes, la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) confirmó que los atacantes han comenzado a explotar el fallo en el entorno real y añadió la CVE-2026-97229 a su Catálogo de Vulnerabilidades Explotadas Conocidas (KEV), ordenando a las agencias federales asegurar sus servidores para el domingo.

Aunque GitLab lanzó los parches hace tres semanas, el observador de amenazas Shadowserver reveló el fin de semana que rastrea más de 1,000 servidores de GitLab sin parchear (enlace) expuestos a ataques continuos.

instancias de gitlab vulnerables expuestas en línea (shadowserver)

CVE-2026-97229 es la más reciente de una serie de problemas de seguridad de GitLab abordados desde principios de año. En enero, GitLab corrigió un fallo de severidad alta (CVE-2026-0723) que permite a los atacantes evadir la autenticación de dos factores, y en septiembre, una vulnerabilidad de severidad máxima (CVE-2026-85706) en la API de commits del repositorio que puede ser explotada para robar credenciales y otros secretos.

CISA también señaló la CVE-2026-85706 como abusada activamente en el entorno real después de que la firma de ciberseguridad watchTowr informara que los atacantes ya habían comenzado a escanear servidores de GitLab vulnerables.

El mes pasado, se abordó otro error del Compilador de Expresiones Regulares de severidad máxima (CVE-2026-110264) que permite a los actores de amenazas ejecutar código arbitrario en las instancias objetivo.

"Actualmente rastreamos más de 1,000 instancias de GitLab vulnerables a CVE-2026-97229 (en el KEV de @CISACyber) y más de 11,300 instancias vulnerables a CVE-2026-110264 (de unas 39,000 instancias de GitLab que vemos diariamente)", dijo Shadowserver (enlace) el domingo.

Desde noviembre de 2021, CISA ha añadido seis fallos de GitLab (enlace) a su catálogo de vulnerabilidades explotadas activamente, una de las cuales también ha sido utilizada en ataques de ransomware.

GitLab afirma que su plataforma DevSecOps tiene más de 70 millones de usuarios registrados y es utilizada por más del 50% de las empresas Fortune 100 en todo el mundo.

Fuente:
BleepingComputer