Un compilador de expresiones regulares se convierte en puerta de entrada
GitLab corrigió el 12 de octubre CVE-2026-97229, un desbordamiento de enteros con CVSS 10,0 en el compilador que procesa expresiones regulares en la configuración de pipelines de CI/CD. En ciertas condiciones, dice el aviso de GitLab, un usuario sin autenticar podía ejecutar código arbitrario en el servidor de GitLab mediante una expresión regular manipulada en una configuración de CI/CD.
El aviso no detalla esas condiciones, y ninguno de los tres informes que leímos lo hace. Un investigador con el alias joaxcar notificó el fallo a través del programa de recompensas HackerOne de GitLab. GitLab.com ya ejecuta la versión corregida, los clientes de GitLab Dedicated no tienen que hacer nada, pero los administradores de instancias autogestionadas deben actualizar de inmediato. Según heise, a 13 de octubre GitLab no había comunicado ataques.
| Línea de versiones | Vulnerable | Corregido en |
|---|---|---|
| GitLab 19.2 | Anteriores a 19.2.8 | 19.2.8 |
| GitLab 19.3 | Anteriores a 19.3.5 | 19.3.5 |
| GitLab 19.4 | Anteriores a 19.4.2 | 19.4.2 |
En la misma versión se corrigieron tres fallos de gravedad alta. CVE-2026-92883 (8,7) es un fallo de cross-site scripting. CVE-2026-16301 (8,5) permite a un usuario con el rol Developer ejecutar pipelines en ramas protegidas. CVE-2026-14814 (8,2) puede envenenar respuestas en caché y exponer variables de entorno protegidas. Heise cuenta cinco fallos de gravedad alta en total.
Tres fallos críticos de GitLab en pocas semanas
CVE-2026-97229 es el tercer fallo crítico de GitLab en las últimas semanas, y el de septiembre mostró lo rápido que se mueven los atacantes.
| CVE | CVSS | Componente | Consecuencia señalada |
|---|---|---|---|
| CVE-2026-85706 | 10,0 | GitLab CE y EE | Lectura sin autenticación de datos sensibles como credenciales y secretos, con sondeos a las pocas horas de hacerse público y una inclusión en la lista de la CISA un día después del parche |
| CVE-2026-90970 | 9,9 | AI Gateway | Un usuario autenticado con acceso a la Duo Agent Platform podía salir del sandbox de plantillas de prompts y ejecutar comandos |
| CVE-2026-97229 | 10,0 | Compilador de expresiones regulares de CI/CD | Ejecución de código sin autenticación, sin ataques comunicados a 13 de octubre |
Tras el fallo de septiembre, la CISA dio a las agencias federales de Estados Unidos tres días para asegurar sus sistemas. Desde noviembre de 2021 ha señalado cinco fallos de GitLab usados en ataques, uno de ellos por bandas de ransomware. A 13 de octubre no se habían comunicado ataques contra el nuevo fallo, pero el ritmo de septiembre es el que conviene prever.
Por qué un servidor de pipelines merece ser atacado
Un servidor de CI/CD está entre el código fuente y producción, por lo que ejecutar código en él vale más para un atacante que en la mayoría de los servidores de empresa.
Suele guardar los secretos que los pipelines necesitan para compilar, probar y desplegar, como tokens de acceso y claves de despliegue, y puede cambiar lo que llega a los clientes. GitLab dice que tiene más de 30 millones de usuarios registrados y que más del 50 por ciento de las Fortune 100 lo usan. Autoalojarlo cambia comodidad por control sobre dónde están tu código y tus datos, y traslada a ti el deber de parchear. Puede ser una decisión deliberada para equipos con requisitos de residencia de datos, y es también la razón por la que el día de parches del proveedor se convierte en tu plazo.
Un plan de 72 horas para equipos autogestionados
Trátalo como un trabajo de 72 horas para toda instancia accesible desde internet y empieza por comprobar la versión.
Primero, lee tu versión instalada y compárala con 19.2.8, 19.3.5 y 19.4.2, y confirma después los números de compilación exactos en el aviso de GitLab. Segundo, programa la actualización dentro de las 72 horas, empezando por cualquier instancia accesible desde internet. Tercero, hasta entonces, limita quién puede llegar al servidor y quién puede editar los archivos de configuración de CI/CD.
Cuarto, si no puedes descartar la exposición, rota los secretos guardados como variables de pipeline cuando el parche esté puesto. Quinto, suscríbete a los avisos de seguridad de GitLab para que el próximo llegue a una persona el mismo día. Las 72 horas son una ventana que sugerimos nosotros, no un plazo de GitLab.
Leer a continuación: Dos líneas dicen si el fallo de NetScaler te afecta | El fallo peor calificado de GitLab solo necesita un proyecto público
