> ## Content Index > Fetch the complete content index at: https://www.sredevops.org/llms.txt > Use this file to discover other available public pages before exploring further. # Usas Gitlab selfhosted? Vulnerabilidad crítica permite ejecución de código remoto CVE-2026-97229 - URL: https://www.sredevops.org/es/usas-gitlab-selfhosted-vulnerabilidad-critica-permite-ejecucion-de-codigo-remoto-cve-2026-97229/ - Published: 2026-10-14T01:04:01.000Z - Updated: 2026-10-14T07:13:58.000Z - Description: Si tienes un GitLab administrado, no es el tipo de actualización que quieres postergar para el próximo sprint. - Author: Nicolás Georger - Tags: Security, DevSecOps, CI-CD, On-Premise, Español, #es, Selected content El 12 de octubre de 2026, GitLab [publicó una actualización crític](https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-4-2-released/?ref=sredevops.org)a para [CVE-2026-97229](https://www.cve.org/CVERecord?id=CVE-2026-97229&ref=sredevops.org), una vulnerabilidad tipo *"integer overflow"* ([CWE-190](https://cwe.mitre.org/data/definitions/190.html?ref=sredevops.org)) en el compilador de expresiones regulares de CI/CD. **Afecta a GitLab Community Edition (CE) y Enterprise Edition (EE).** GitLab asignó a la falla una puntuación CVSSv3.1 de [10.0](https://www.first.org/cvss/calculator/3.1?ref=sredevops.org#CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H), el máximo posible. **Si tienes un GitLab administrado, no es el tipo de actualización que quieres postergar para el próximo sprint**. ## Panorama general Bajo ciertas condiciones, un atacante remoto puede ejecutar código arbitrario en un servidor GitLab afectado mediante una expresión regular especialmente manipulada almacenada en un archivo de configuración CI/CD malicioso, como `.gitlab-ci.yml`. Aunque la puntuación CVSS entregada por el fabricante indica que la explotación es completamente no autenticada, Rapid7 observó durante la reproducción que el atacante debe contar con un mecanismo para incorporar una configuración CI/CD maliciosa en un repositorio antes de disparar la vulnerabilidad. En instancias donde los usuarios pueden autogestionarse y crear proyectos, esta restricción desaparece. La falla afecta a instancias GitLab selfhosted en todos los tipos de despliegue. GitLab.com ya ejecuta una versión corregida y los clientes de GitLab Dedicated no necesitan tomar acción. Hasta el momento de esta publicación, no hay explotación confirmada "on the wild". Sin embargo, Rapid7 Intelligence [reprodujo de forma independiente la ejecución arbitraria de código](https://github.com/jburgess-r7/CVE-2026-97229-PoC?ref=sredevops.org) en una imagen oficial sin parches de GitLab CE. Dado el puntaje máximo, el disparador accesible por red y la ejecución de código en un worker de la aplicación, Rapid7 recomienda actualizar las instancias autoalojadas afectadas con urgencia, fuera de los ciclos normales de parches. ## Resumen técnico Las pruebas de Rapid7 revelaron que el atacante primero debe poder publicar un archivo de configuración CI/CD malicioso, `.gitlab-ci.yml`, y una ruta de repositorio que contenga caracteres UTF-8 en una rama de un proyecto público. Por ejemplo, una cuenta común puede cumplir este requisito creando un proyecto público en una instancia GitLab selfhosted donde esa funcionalidad esté permitida. La expresión regular manipulada se compila inicialmente en una "representación compacta" de charset US-ASCII y supera la validación de expresiones regulares de GitLab. Cuando se evalúa contra una ruta de repositorio UTF-8 especialmente preparada para el ataque, el motor Onigmo de Ruby la *recompila* para la nueva codificación después de que se completan esas verificaciones. Un *integer overflow* en el cálculo del tamaño de programa del compilador genera instrucciones regex no válidas. La pérdida de integridad del flujo de control resultante permite ejecutar operaciones de la VM Onigmo controladas por el atacante dentro del proceso Ruby y, finalmente, lanzar un comando del sistema operativo como el usuario `git` de GitLab. [GitHub - jburgess-r7/CVE-2026-97229-PoC: GitLab CI lint integer-overflow RCE PoC for CVE-2026-97229, validated against the official 19.4.1 CE amd64 imageGitLab CI lint integer-overflow RCE PoC for CVE-2026-97229, validated against the official 19.4.1 CE amd64 image - jburgess-r7/CVE-2026-97229-PoC![](https://www.sredevops.org/content/images/icon/favicon-1cf0875d-8753-43f4-98a3-f339579c5aba.png)GitHub![](https://www.sredevops.org/content/images/thumbnail/CVE-2026-97229-PoC-dccb85ba-2b6b-4878-8b3b-fbf05e6b0bd7.png)](https://github.com/jburgess-r7/CVE-2026-97229-PoC?ref=sredevops.org) **Rapid7 validó la cadena completa contra la imagen oficial de GitLab 19.4.1 CE para Linux amd64 con aleatorización del espacio de direcciones (ASLR) habilitada. El mismo insumo no se ejecutó contra la imagen oficial corregida 19.4.2 CE. Los detalles adicionales sobre la causa raíz y la cadena de explotación se incluirán en un análisis técnico separado de Rapid7.* ## Guía de mitigación Existe un parche del proveedor para remediar CVE-2026-97229\. L**as organizaciones que ejecutan instancias afectadas de GitLab CE o EE self hosted deben actualizar de inmediato a una versión corregida**, sin esperar un ciclo de parches regular. | Versiones afectadas de GitLab CE/EE | Versión corregida | | ---------------------------------------------- | ----------------- | | Todas las versiones desde 19.2 antes de 19.2.8 | 19.2.8 | | Todas las versiones desde 19.3 antes de 19.3.5 | 19.3.5 | | Todas las versiones desde 19.4 antes de 19.4.2 | 19.4.2 | GitLab.com ya fue actualizado y los clientes de GitLab Dedicated no necesitan tomar acción. Mientras se completa la actualización, restringir el acceso anónimo a proyectos públicos y evitar que usuarios no confiables creen o modifiquen proyectos públicos puede reducir la exposición por la vía de entrega demostrada por Rapid7\. Estos controles mitigan únicamente la ruta de entrega; no corrigen el compilador vulnerable. Para conocer la guía de mitigación más reciente, consulta el [aviso de seguridad de GitLab](https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-4-2-released/?ref=sredevops.org). ### Comandos útiles para administradores Si necesitas verificar la versión instalada y actualizar en sistemas basados en Debian o Ubuntu, considera este flujo: ```bash # Verificar la versión actual de GitLab sudo gitlab-rake gitlab:env:info # Crear un respaldo antes de actualizar sudo gitlab-backup create # Actualizar GitLab CE a la versión corregida (ajusta a EE si corresponde) sudo apt-get update sudo apt-get install gitlab-ce=19.4.2-ce.0 # Aplicar la configuración sudo gitlab-ctl reconfigure ``` Reemplaza `gitlab-ce` por `gitlab-ee` si usas Enterprise Edition y consulta la ruta de actualización oficial de GitLab para tu tipo de instalación. ## Referencias - [Publicación original de Rapid7](https://www.rapid7.com/blog/post/etr-cve-2026-97229-critical-unauthenticated-remote-code-execution-in-gitlab/?ref=sredevops.org) - [Parche de seguridad de GitLab 19.4.2](https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-4-2-released/?ref=sredevops.org) - [Registro CVE-2026-97229](https://www.cve.org/CVERecord?id=CVE-2026-97229&ref=sredevops.org) - [CWE-190: Integer Overflow or Wraparound](https://cwe.mitre.org/data/definitions/190.html?ref=sredevops.org) - [Calculadora CVSS 3.1](https://www.first.org/cvss/calculator/3.1?ref=sredevops.org#CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H) - [Prueba de concepto de Rapid7 en GitHub](https://github.com/jburgess-r7/CVE-2026-97229-PoC?ref=sredevops.org)