GitLab admins urged to patch critical RCE flaw (CVE-2026-97229)
2026-10-13
GitLab ha emitido una alerta urgente para los administradores de sus versiones gestionadas por cuenta propia (self-managed), tanto en su edición Community (CE) como Enterprise (EE). Se trata de la vulnerabilidad CVE-2026-97229, la cual tiene una puntuación de riesgo de 10.0 (la máxima posible), debido a que permite la ejecución de código arbitrario de forma remota.
El fallo se origina por un desbordamiento de enteros (integer overflow) en el compilador de expresiones regulares de la herramienta de CI/CD (integración y despliegue continuo). Un atacante podría aprovechar esto mediante una expresión regular especialmente diseñada en un archivo de configuración, logrando ejecutar comandos en el servidor sin tener privilegios de usuario ni requerir interacción de terceros.
Investigadores de Rapid7 lograron reproducir el ataque en una imagen oficial de GitLab CE sin parches. Aunque no se ha confirmado que este fallo esté siendo usado en ataques reales en este momento, se advierte que cualquier usuario con capacidad de crear proyectos públicos en una instancia gestionada podría cumplir los requisitos para el ataque.
Además de este fallo crítico, la actualización de emergencia corrige otras vulnerabilidades de alta severidad, incluyendo problemas de ejecución de scripts maliciosos en el navegador (cross-site scripting) y fallos que podrían permitir el envenenamiento de caché (cache poisoning), lo que compromete la integridad de los datos.
Qué significa para una pyme colombiana y cucuteña: Si su empresa utiliza GitLab instalado en sus propios servidores para gestionar el código de sus aplicaciones o procesos, debe actualizar de inmediato. Las versiones afectadas son todas las anteriores a la 19.2.8, 19.3.5 y 19.4.2. Si su instalación es de un solo nodo, tenga en cuenta que el proceso de actualización requerirá una breve interrupción del servicio para realizar migraciones de la base de datos.
bleepingcomputer.com · bitnewsbot.com · cyberkendra.com · techrepublic.com