GitLab corrige una RCE crítica explotable sin contraseña; puntuación máxima 10,0

GitLab cerró una vulnerabilidad crítica que, en determinadas condiciones, permite ejecutar código arbitrario en el servidor sin contraseña ni participación del usuario. El problema recibió la puntuación máxima de 10,0 según CVSS. Los desarrolladores publicaron correcciones urgentes y pidieron a los responsables de servidores propios que actualicen.

La vulnerabilidad CVE-2026-97229 está relacionada con el compilador de expresiones regulares que GitLab procesa en las configuraciones de CI/CD. Una verificación insuficiente de una expresión preparada específicamente puede provocar un desbordamiento de enteros y llevar a la ejecución de código ajeno. GitLab de momento no revela las condiciones exactas de un ataque exitoso.

Según la evaluación CVSS 3.1, el ataque es posible a través de la red, tiene baja complejidad y no requiere ni una cuenta ni acciones de la víctima. Una explotación exitosa puede comprometer la confidencialidad, la integridad y la disponibilidad del sistema. Dado que GitLab suele almacenar código fuente y gestionar procesos de compilación, el compromiso de un servidor puede afectar a toda la infraestructura de desarrollo.

El error afecta a GitLab Community Edition y Enterprise Edition a partir de la rama 19.2. Las correcciones se publicaron el 12 de octubre de 2026 en las versiones 19.2.8, 19.3.5 y 19.4.2. Los desarrolladores recomiendan instalar de inmediato el parche correspondiente en los servidores desplegados por cuenta propia. GitLab.com ya ha sido actualizada, y a los usuarios de GitLab Dedicated no se les requieren acciones adicionales.

La brecha crítica fue descubierta por un investigador con el seudónimo joaxcar y la informó a través del programa de recompensas HackerOne. GitLab no ha declarado ataques confirmados que hayan empleado CVE-2026-97229. La empresa aún no publica los detalles técnicos completos. Se planea abrir las incidencias relacionadas con las vulnerabilidades corregidas en el rastreador 90 días después de la publicación de los parches.

En el mismo paquete se corrigieron otros errores peligrosos. CVE-2026-92883, con una puntuación de 8,7, permite a un usuario autorizado inyectar JavaScript a través de un repositorio especialmente preparado para que el código se ejecute en el navegador de otra persona. CVE-2026-16301 obtuvo 8,5 puntos y permite a un desarrollador, en ciertas condiciones, lanzar canalizaciones de CI/CD en ramas protegidas sin permiso.

En el paquete de octubre también se incluyó CVE-2026-14814, con una puntuación de 8,2. El error permite envenenar la caché de archivos del repositorio, obligar a la canalización de otra persona a ejecutar contenido manipulado y, potencialmente, revelar variables de entorno protegidas. Una vulnerabilidad separada, CVE-2026-96893, admite la inyección de instrucciones maliciosas en el contexto del agente de IA GitLab Duo.

GitLab también corrigió errores de control de acceso, filtraciones de secretos a través de los registros de GitLab Pages y problemas en el tratamiento de tokens. Se recomienda a los administradores, en primer lugar, actualizar los servidores accesibles desde Internet. La vulnerabilidad anterior de GitLab, con la puntuación máxima de 10,0, ya fue objeto de ataques reales en septiembre; sin embargo, aún no hay confirmación de explotación de la nueva brecha.