GitLab soluciona una vulnerabilidad RCE sin autenticación con puntuación 10,0 — presente desde la versión 7.0

Un fallo de más de diez años permitía convertir a GitLab en un punto de entrada al servidor sin contraseña. El 21 de octubre los desarrolladores publicaron correcciones de emergencia para Community Edition y Enterprise Edition, cerrando CVE-2026-110264. La vulnerabilidad recibió la puntuación máxima de 10,0 según CVSS 3.1 y afectaba a versiones a partir de GitLab 7.0, lanzado en 2014.

GitLab confirmó que bajo ciertas condiciones un atacante podía ejecutar código arbitrario de forma remota sin una cuenta ni interacción del usuario. La causa es un desbordamiento entero durante la compilación de una expresión regular especialmente formada. El fallo está relacionado con el motor Onigmo, que se usa en Ruby para la búsqueda y el procesamiento de texto.

Las expresiones regulares ayudan a los programas a encontrar texto según un patrón. En este caso, un número demasiado grande de repeticiones podía desbordar el contador interno y corromper el manejo de memoria. La corrección hace que el compilador rechace esos patrones. Según las reglas de detección publicadas por GitLab, uno de los vectores de ataque está relacionado con el procesamiento de archivos con extensión .org.

La magnitud del problema resultó inusual incluso para errores críticos. Se consideran vulnerables todas las compilaciones desde la 7.0 hasta la 18.11.13, sin incluir la versión corregida, así como las ramas 19.0–19.5 antes de los parches de octubre correspondientes. Para instalaciones antiguas sin una rama con soporte será necesario migrar a una versión más reciente, ya que no existe un parche independiente para cada versión anterior.

Recibieron correcciones las versiones 18.11.13, 19.0.10, 19.1.9, 19.2.9, 19.3.6, 19.4.3 y 19.5.1. GitLab recomienda encarecidamente actualizar los servidores. GitLab.com ya funciona con el parche, y los clientes de GitLab Dedicated en las versiones internas indicadas por la compañía no necesitan una actualización adicional. Para sistemas alojados por cuenta propia el riesgo persiste hasta la instalación de la corrección.

Nueve días antes de la publicación actual, GitLab ya había mitigado una vulnerabilidad RCE en el procesamiento de expresiones regulares de CI/CD. Ese problema recibió el identificador CVE-2026-97229 y una puntuación de 10,0 según CVSS 3.1, pero afectaba solo a versiones nuevas. Se trata de dos vulnerabilidades distintas, no de un cambio de nombre de una sola CVE. Los parches del 12 de octubre no protegen frente al nuevo fallo.

El equipo CiberOK declaró que comprobó la posibilidad de explotación de CVE-2026-110264. No se ha encontrado, al 22 de octubre, un exploit funcional público ni casos confirmados de uso en ataques reales. GitLab publicó dos reglas de detección. La primera detecta fallos en los procesos de Onigmo; la segunda identifica series de errores al renderizar archivos .org.

Se aconseja a los administradores instalar con urgencia la versión corregida correspondiente. Si no es posible actualizar de inmediato, se puede limitar temporalmente el acceso de red al servidor y revisar los registros en busca de fallos inusuales de Ruby y errores en el procesamiento de .org. Esas medidas no eliminan la vulnerabilidad. Los indicadores aislados tampoco prueban un compromiso, ya que los fallos pueden deberse a otras causas.