GitLab ha publicado el 21 de octubre las correcciones de una vulnerabilidad que permite a un atacante ejecutar código en un servidor autogestionado sin necesidad de autenticarse. El fallo afecta a todas las versiones del software desde la 7.0, lanzada en 2014, según ha confirmado la compañía.
La actualización es relevante incluso para los administradores que ya aplicaron el parche nueve días antes: la actualización del 12 de octubre solo cubría las versiones 19.2 y posteriores, y las nuevas versiones corregidas se sitúan un parche por encima, de modo que una instancia actualizada en esa fecha vuelve a quedar expuesta.
Detalles de la vulnerabilidad
El fallo, identificado como CVE-2026-110264, tiene una puntuación de 10.0 en la escala CVSS, el máximo posible. GitLab señala que, bajo determinadas condiciones, podría permitir a un usuario no autenticado ejecutar código arbitrario en el servidor debido a un desbordamiento de enteros durante la compilación de una expresión regular especialmente diseñada.
La empresa no ha especificado cuáles son esas condiciones. Tampoco tiene constancia de que la vulnerabilidad se haya explotado en ataques, y a fecha del 22 de octubre no figura en el catálogo de vulnerabilidades explotadas conocidas de la agencia CISA de Estados Unidos.
Solo deben tomar medidas las instalaciones autogestionadas. GitLab.com ya ejecuta la versión corregida, y los inquilinos de GitLab Dedicated con las versiones internas 19.3.5-internal0 y 19.4.2-internal0 o posteriores ya disponen de la corrección.
Siete versiones corregidas a la vez
GitLab ha corregido el fallo simultáneamente en siete versiones. Cuatro de ellas son anteriores a las que la compañía suele parchear: su política cubre la versión actual y las dos versiones mensuales anteriores, que a día de hoy son la 19.5, la 19.4 y la 19.3.
GitLab indicó que ha retroportado la corrección a las versiones 18.11.13, 19.0.10, 19.1.9 y 19.2.9 además de las versiones estándar, una medida que reserva para problemas graves.
El origen: el motor Onigmo de Ruby
El alcance temporal del fallo se explica por el componente que ha fallado. El compilador de expresiones regulares es el motor integrado de Ruby, denominado Onigmo, que GitLab incluye en sus propios paquetes y parchea en sus compilaciones. Una debilidad en ese motor está presente en cualquier lugar donde GitLab lo haya distribuido, es decir, en todas las versiones desde la 7.0.
GitLab también ha publicado dos reglas de detección para ayudar a los administradores autogestionados a buscar intentos de explotación, denominadas «Onigmo native worker crash» y «Org mode render error burst». Forman parte del framework de código abierto TLDR de la compañía, que redacta cada detección en formato Sigma sobre los registros de la propia aplicación de GitLab.
GitLab no ha revelado qué condiciones previas necesita un atacante para llegar al compilador, por lo que los administradores no pueden descartar estar afectados según su configuración. La corrección es la única protección segura, y el aviso de GitLab no ofrece ninguna solución provisional.
Cuarto fallo del mismo investigador en un mes
Esta es la cuarta vulnerabilidad de ejecución de código en el motor de expresiones regulares de GitLab que reporta el mismo investigador, conocido por el alias joaxcar, en un mes, y la primera que alcanza versiones anteriores a la 19.2.
- 12 de octubre: GitLab corrigió CVE-2026-97229, también un desbordamiento de severidad 10.0 sin autenticación en el compilador de expresiones regulares, en las versiones 19.2.8, 19.3.5 y 19.4.2.
- 23 de septiembre: corrigió CVE-2026-93577 y CVE-2026-89078, ambos con puntuación 9.9 pero que requieren una cuenta autenticada.
Los tres fallos anteriores se limitaban a la versión 19.2; este no.
Otras once vulnerabilidades y consideraciones sobre la actualización
La versión del 21 de octubre corrige 11 problemas de seguridad en total: uno crítico y el resto de severidad alta, media o baja.
Dos de ellos afectan a la autenticación. CVE-2026-15723, de severidad alta con 8.2, podría permitir a un usuario autenticado hacerse con el control de otra cuenta, pero solo si un administrador ha habilitado el enlace automático de SAML y LDAP.
Una vulnerabilidad de envenenamiento de caché en los puntos de acceso OAuth y OpenID Connect de GitLab, CVE-2026-112212, de severidad alta con 7.5, podría permitir a un atacante redirigir determinados flujos de inicio de sesión a un servidor que controle, en configuraciones que utilicen una caché compartida.
La actualización conlleva un coste que conviene planificar. Las versiones 19.4.3 y 19.3.6 incluyen cambios en la base de datos que se ejecutan durante la actualización, y en un servidor de un solo nodo eso implica tiempo de inactividad hasta que finalicen. GitLab señala que las configuraciones multinodo pueden aplicar el parche sin interrupción mediante su procedimiento de tiempo de inactividad cero.
Deja una respuesta