GitLab corrige una falla con puntuación 10 que permite ejecutar código sin autenticación en servidores autogestionados
La vulnerabilidad CVE-2026-110264, un desbordamiento de enteros en el compilador de expresiones regulares, afecta a todas las versiones desde la 7.0. GitLab.com ya está corregido y la empresa pide actualizar de inmediato las instalaciones propias.
GitLab publicó el 21 de octubre una actualización crítica para sus ediciones Community y Enterprise que corrige CVE-2026-110264, una vulnerabilidad con la puntuación máxima de 10.0 en CVSS 3.1. Según la nota de la empresa, en determinadas condiciones la falla permite que un usuario sin autenticar ejecute código arbitrario en el servidor de GitLab, a causa de un desbordamiento de enteros al compilar una expresión regular especialmente preparada. Las versiones corregidas son 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 y 18.11.13, y GitLab recomienda que todas las instalaciones autogestionadas se actualicen de inmediato.
El alcance temporal es lo que distingue a este fallo. GitLab indica que están afectadas todas las versiones desde la 7.0, publicada en 2014, hasta las anteriores a cada versión corregida. Para cubrir a quienes se quedaron en ramas más antiguas, la empresa llevó el arreglo, además de a sus versiones habituales de parche, a las ramas 18.11, 19.0, 19.1 y 19.2. La empresa no detalló qué condiciones exactas hacen explotable la falla. Los clientes del servicio en la nube no tienen que hacer nada: GitLab.com ya ejecuta la versión corregida, y los entornos de GitLab Dedicated en las versiones internas 19.3.5-internal0 y 19.4.2-internal0 o posteriores ya incluyen los arreglos. El reporte llegó por el programa de recompensas de la empresa en HackerOne y se atribuye al investigador que firma como joaxcar.
Para un servidor de GitLab, una ejecución remota de código sin credenciales es el peor escenario posible. Estas instancias suelen guardar el código fuente de una organización, sus canalizaciones de integración y despliegue continuos y los secretos que esas canalizaciones usan para publicar en producción, de modo que quien tome el control del servidor puede acceder a todo ello. Junto con la nota, GitLab publicó dos detecciones de amenazas para ayudar a los clientes autogestionados a identificar intentos de explotación, una de ellas orientada a detectar caídas de procesos en Onigmo, el motor nativo de expresiones regulares. La Agencia de Ciberseguridad de Singapur emitió el 22 de octubre una alerta en la que pide a usuarios y administradores aplicar las actualizaciones de inmediato.
El caso tiene un antecedente cercano. El 12 de octubre, GitLab ya había corregido CVE-2026-97229, otra vulnerabilidad con puntuación 10.0 descrita también como un desbordamiento de enteros en el compilador de expresiones regulares, en ese caso a través de expresiones incluidas en la configuración de CI/CD. Aquella falla, reportada por el mismo investigador, afectaba solo a las ramas 19.2 a 19.4, mientras que la nueva abarca casi doce años de versiones. Como análisis, la repetición sugiere que el procesamiento de expresiones regulares proporcionadas por usuarios se ha convertido en una superficie de ataque prioritaria en la plataforma, y que haber aplicado el parche del 12 de octubre no protege frente a la nueva falla.
La actualización del 21 de octubre corrige además otras once vulnerabilidades de menor gravedad. Entre ellas figuran CVE-2026-15723, un problema de autenticación en la vinculación automática de cuentas entre OmniAuth y LDAP con puntuación 8.2, y CVE-2026-112212, un envenenamiento de caché en los endpoints de descubrimiento de OAuth y OpenID Connect con puntuación 7.5. El resto, de severidad media o baja, afecta a controles de acceso en la API de GraphQL, en hitos de grupo y en funciones de IA de la edición Enterprise. La nota de GitLab no describe medidas alternativas para la falla crítica, por lo que la vía que señala la empresa es actualizar a la versión corregida de su rama y verificar después la versión que efectivamente ejecuta cada instancia.