GitLab alerta sobre una vulnerabilidad de ejecución de código de máxima gravedad

GitLab ha instado a sus usuarios a aplicar de forma inmediata un parche para una vulnerabilidad de máxima gravedad en el Compilador de Expresiones Regulares de CI/CD, la cual podría permitir a atacantes remotos ejecutar código arbitrario en las instancias afectadas.

Detalles de la vulnerabilidad CVE-2026-97229

La falla, identificada como CVE-2026-97229, fue hallada por un investigador de seguridad conocido por el alias 'joaxcar' y reportada mediante el programa de recompensas por errores HackerOne de GitLab. El problema se origina en una debilidad de desbordamiento de enteros en el Compilador de Expresiones Regulares de CI/CD de GitLab, componente encargado de analizar, compilar y evaluar expresiones regulares en los archivos de configuración de las canalizaciones de los proyectos.

GitLab ha remediado un problema que, bajo ciertas condiciones, podría haber permitido a un usuario no autenticado ejecutar código arbitrario en el servidor de GitLab mediante una expresión regular especialmente diseñada en una configuración de CI/CD, debido a una validación insuficiente de las expresiones regulares.

Versiones corregidas y recomendaciones

GitLab corrigió el fallo de seguridad en las versiones de Community Edition (CE) y Enterprise Edition (EE) 19.2 anteriores a 19.2.8, 19.3 anteriores a 19.3.4 y 19.4 anteriores a 19.4.2, y urgió a los usuarios a parchear sus servidores de inmediato.

Estas versiones contienen correcciones importantes de errores y de seguridad, y recomendamos encarecidamente que todas las instalaciones autogestionadas de GitLab se actualicen a una de estas versiones de inmediato. GitLab.com ya ejecuta la versión parcheada. Los clientes de GitLab Dedicated no necesitan tomar ninguna medida.

Antecedentes de vulnerabilidades recientes

CVE-2026-97229 es la más reciente de una serie de vulnerabilidades que GitLab ha abordado en los últimos meses. En enero, GitLab corrigió un bypass de autenticación de dos factores de alta gravedad (CVE-2026-0723) que permitía a atacantes que conocían el ID de cuenta de la víctima eludir la autenticación de dos factores en servidores de las ediciones community y enterprise.

El mes pasado, la compañía solucionó otra vulnerabilidad de máxima gravedad (CVE-2026-85706) en GitLab CE/EE que permitía a atacantes no autenticados leer datos confidenciales, como credenciales y otros secretos, de los servidores vulnerables. Un día después, la Agencia de Ciberseguridad y Seguridad de Infraestructuras de Estados Unidos (CISA) añadió CVE-2026-85706 a su catálogo de fallos explotados en la naturaleza y ordenó a las agencias federales asegurar sus sistemas en un plazo de tres días.

CISA ha señalado cinco vulnerabilidades de GitLab explotadas en ataques desde noviembre de 2021, incluida una utilizada por bandas de ransomware. GitLab afirma que más de 30 millones de usuarios registrados y más del 50 % de las empresas Fortune 100 utilizan su plataforma DevSecOps, entre ellas Nvidia, T-Mobile, Lockheed Martin, Airbus y Goldman Sachs.