Si tienes un GitLab administrado, no es el tipo de actualización que quieres postergar para el próximo sprint.
Usas Gitlab selfhosted? Vulnerabilidad crítica permite ejecución de código remoto CVE-2026-97229
El 12 de octubre de 2026, GitLab publicó una actualización crítica para CVE-2026-97229, una vulnerabilidad tipo "integer overflow" (CWE-190) en el compilador de expresiones regulares de CI/CD. Afecta a GitLab Community Edition (CE) y Enterprise Edition (EE). GitLab asignó a la falla una puntuación CVSSv3.1 de 10.0, el máximo posible. Si tienes un GitLab administrado, no es el tipo de actualización que quieres postergar para el próximo sprint.
Bajo ciertas condiciones, un atacante remoto puede ejecutar código arbitrario en un servidor GitLab afectado mediante una expresión regular especialmente manipulada almacenada en un archivo de configuración CI/CD malicioso, como .gitlab-ci.yml.
Aunque la puntuación CVSS entregada por el fabricante indica que la explotación es completamente no autenticada, Rapid7 observó durante la reproducción que el atacante debe contar con un mecanismo para incorporar una configuración CI/CD maliciosa en un repositorio antes de disparar la vulnerabilidad. En instancias donde los usuarios pueden autogestionarse y crear proyectos, esta restricción desaparece.
La falla afecta a instancias GitLab selfhosted en todos los tipos de despliegue. GitLab.com ya ejecuta una versión corregida y los clientes de GitLab Dedicated no necesitan tomar acción.
Hasta el momento de esta publicación, no hay explotación confirmada "on the wild". Sin embargo, Rapid7 Intelligence reprodujo de forma independiente la ejecución arbitraria de código en una imagen oficial sin parches de GitLab CE. Dado el puntaje máximo, el disparador accesible por red y la ejecución de código en un worker de la aplicación, Rapid7 recomienda actualizar las instancias autoalojadas afectadas con urgencia, fuera de los ciclos normales de parches.
Las pruebas de Rapid7 revelaron que el atacante primero debe poder publicar un archivo de configuración CI/CD malicioso, .gitlab-ci.yml, y una ruta de repositorio que contenga caracteres UTF-8 en una rama de un proyecto público. Por ejemplo, una cuenta común puede cumplir este requisito creando un proyecto público en una instancia GitLab selfhosted donde esa funcionalidad esté permitida.
La expresión regular manipulada se compila inicialmente en una "representación compacta" de charset US-ASCII y supera la validación de expresiones regulares de GitLab. Cuando se evalúa contra una ruta de repositorio UTF-8 especialmente preparada para el ataque, el motor Onigmo de Ruby la recompila para la nueva codificación después de que se completan esas verificaciones. Un integer overflow en el cálculo del tamaño de programa del compilador genera instrucciones regex no válidas. La pérdida de integridad del flujo de control resultante permite ejecutar operaciones de la VM Onigmo controladas por el atacante dentro del proceso Ruby y, finalmente, lanzar un comando del sistema operativo como el usuario git de GitLab.
Rapid7 validó la cadena completa contra la imagen oficial de GitLab 19.4.1 CE para Linux amd64 con aleatorización del espacio de direcciones (ASLR) habilitada. El mismo insumo no se ejecutó contra la imagen oficial corregida 19.4.2 CE. Los detalles adicionales sobre la causa raíz y la cadena de explotación se incluirán en un análisis técnico separado de Rapid7.
Existe un parche del proveedor para remediar CVE-2026-97229. Las organizaciones que ejecutan instancias afectadas de GitLab CE o EE self hosted deben actualizar de inmediato a una versión corregida, sin esperar un ciclo de parches regular.
| Versiones afectadas de GitLab CE/EE | Versión corregida |
|---|---|
| Todas las versiones desde 19.2 antes de 19.2.8 | 19.2.8 |
| Todas las versiones desde 19.3 antes de 19.3.5 | 19.3.5 |
| Todas las versiones desde 19.4 antes de 19.4.2 | 19.4.2 |
GitLab.com ya fue actualizado y los clientes de GitLab Dedicated no necesitan tomar acción. Mientras se completa la actualización, restringir el acceso anónimo a proyectos públicos y evitar que usuarios no confiables creen o modifiquen proyectos públicos puede reducir la exposición por la vía de entrega demostrada por Rapid7. Estos controles mitigan únicamente la ruta de entrega; no corrigen el compilador vulnerable.
Para conocer la guía de mitigación más reciente, consulta el aviso de seguridad de GitLab.
Si necesitas verificar la versión instalada y actualizar en sistemas basados en Debian o Ubuntu, considera este flujo:
# Verificar la versión actual de GitLab
sudo gitlab-rake gitlab:env:info
# Crear un respaldo antes de actualizar
sudo gitlab-backup create
# Actualizar GitLab CE a la versión corregida (ajusta a EE si corresponde)
sudo apt-get update
sudo apt-get install gitlab-ce=19.4.2-ce.0
# Aplicar la configuración
sudo gitlab-ctl reconfigure
Reemplaza gitlab-ce por gitlab-ee si usas Enterprise Edition y consulta la ruta de actualización oficial de GitLab para tu tipo de instalación.
La Agencia Nacional de Ciberseguridad (ANCI) de Chile organiza el primer Ejercicio Nacional de Ciberseguridad, una iniciativa que busca poner a prueba la capacidad de las instituciones y profesionales del país para responder a incidentes.
Un malware corriendo dentro de un contenedor puede explotar un bug del kernel, escalar a root y, de repente, está en el host. El límite del contenedor se vuelve decorativo.
