Por Canuto  

GitLab publicó actualizaciones para corregir 12 vulnerabilidades, incluida una falla crítica con puntuación CVSS de 10,0 que, bajo ciertas condiciones, podría permitir a atacantes sin autenticación ejecutar código en un servidor. La empresa recomienda actualizar de inmediato las instalaciones autogestionadas.
***

  • La falla crítica, CVE-2026-110264, se relaciona con un desbordamiento de enteros al compilar expresiones regulares elaboradas; GitLab afirma que no conoce ataques que la exploten.
  • Las versiones 19.3.6, 19.4.3 y 19.5.1 corrigen las 12 vulnerabilidades; las ramas anteriores publicadas en este aviso solo incluyen el parche crítico.
  • Entre las otras fallas hay dos de gravedad alta: una puede permitir la toma de cuentas LDAP bajo condiciones específicas y otra, manipular un documento de descubrimiento OAuth/OIDC almacenado en caché.

GitLab corrige una falla crítica que podía permitir ejecutar código en sus servidores

La actualización aborda 12 vulnerabilidades en GitLab Community Edition y Enterprise Edition. La compañía recomienda que los administradores de instalaciones autogestionadas apliquen los parches de inmediato.

Una falla crítica en la compilación de expresiones regulares

GitLab publicó actualizaciones de seguridad para varias versiones de Community Edition (CE) y Enterprise Edition (EE), después de identificar 12 vulnerabilidades en sus productos. La más grave, CVE-2026-110264, recibió una puntuación CVSS de 10,0, el máximo de esa escala, y la compañía la calificó como crítica. Bajo determinadas condiciones, un atacante que no haya iniciado sesión podría aprovecharla para ejecutar código arbitrario en el servidor afectado, un escenario que eleva la prioridad de la corrección para quienes administran sus propias instalaciones.

El origen de la vulnerabilidad es un desbordamiento de enteros que ocurre al compilar expresiones regulares elaboradas. En términos generales, este tipo de fallo aparece cuando un programa calcula un valor numérico y el resultado excede el espacio que puede representar correctamente, pero el aviso no detalla más condiciones técnicas para explotar el problema. GitLab indicó que todas las versiones a partir de la 7.0 están afectadas, por lo que el alcance no se limita a las ramas más recientes.

La posibilidad de ejecutar código en un servidor hace que esta vulnerabilidad merezca atención inmediata, aunque el aviso no confirma que haya sido utilizada en ataques. GitLab señaló que, hasta el momento de la publicación, no conoce casos de explotación. Esa ausencia de ataques conocidos no elimina el riesgo ni reemplaza la actualización: significa únicamente que la compañía no reportó evidencia de explotación, mientras el fallo permanece presente en las instalaciones sin parche.

La corrección crítica aparece en las versiones 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 y 18.11.13. Sin embargo, las cuatro ramas más antiguas incluidas en el aviso, 19.2.9, 19.1.9, 19.0.10 y 18.11.13, incorporan únicamente el arreglo de CVE-2026-110264. Por eso, quienes necesiten corregir el conjunto completo de vulnerabilidades deben instalar una de las versiones 19.3.6, 19.4.3 o 19.5.1.

El aviso también incluye dos reglas de detección que GitLab publicó para las instancias autogestionadas. Su propósito es ayudar a identificar intentos de explotar la vulnerabilidad crítica, una medida que complementa el parche, pero no lo sustituye. Para los administradores, el orden práctico es comprobar qué versión tienen, seleccionar una actualización compatible y revisar si sus sistemas muestran señales que ameriten investigación.

Otras vulnerabilidades y versiones que corrigen los errores

Las 11 vulnerabilidades restantes se corrigen únicamente en 19.3.6, 19.4.3 y 19.5.1, de acuerdo con el aviso. Dos fueron clasificadas como de gravedad alta, aunque presentan riesgos distintos y requieren condiciones diferentes. La primera, CVE-2026-15723, tiene una puntuación CVSS de 8,2 y podría permitir que usuarios autenticados tomen control de cuentas LDAP ajenas sin que las personas afectadas realicen una acción, siempre que estén habilitados OmniAuth-SAML y LDAP Auto-Linking.

La segunda falla alta, CVE-2026-112212, obtuvo una puntuación de 7,5 y puede ser aprovechada por atacantes no autenticados para manipular el documento de descubrimiento de OAuth/OIDC en una caché compartida. Según la descripción del problema, esa alteración podría redirigir ciertos flujos de OAuth hacia un servidor controlado por el atacante. La vulnerabilidad no es la misma que el fallo crítico de ejecución de código, pero su relación con flujos de autenticación y redirección hace que también deba incluirse en la evaluación de riesgo.

El grupo de gravedad media reúne cinco identificadores: CVE-2026-12664, con puntuación CVSS de 6,8; CVE-2026-16255, con 5,9; y CVE-2026-105777, CVE-2026-13319 y CVE-2026-112378, cada una con 4,3. El material disponible enumera sus puntuaciones y clasificación, pero no ofrece detalles adicionales sobre el mecanismo de cada fallo. Por tanto, no corresponde atribuirles impactos específicos más allá de lo indicado en el aviso de seguridad.

Otras cuatro vulnerabilidades quedaron en la categoría de gravedad baja: CVE-2026-105711, CVE-2026-14288, CVE-2026-112326 y CVE-2026-103515. Aunque su clasificación es inferior a la de los fallos críticos, altos y medios, forman parte del total de 12 vulnerabilidades abordadas por el lanzamiento. Para cerrar ese conjunto completo, GitLab señala que la actualización debe llegar a 19.3.6, 19.4.3 o 19.5.1, en lugar de limitarse a los parches disponibles para las ramas anteriores.

La recomendación de GitLab es que todas las instalaciones autogestionadas se actualicen inmediatamente. La decisión de qué versión aplicar debe considerar si el objetivo es corregir únicamente la falla crítica en una rama antigua o resolver también las otras 11 vulnerabilidades; el aviso distingue expresamente entre ambos alcances. La cobertura completa corresponde a las tres versiones más recientes del listado con el conjunto íntegro de arreglos.

Estado de los servicios y respuesta para administradores

GitLab.com ya ejecuta una versión corregida, según la información recogida por heise online. Para las instancias GitLab Dedicated, el aviso da como referencias las versiones 19.3.5-internal0 y 19.4.2-internal0 en adelante. Estos datos permiten distinguir el estado de los servicios administrados por GitLab de las instalaciones que cada organización mantiene por su cuenta, para las cuales la compañía pide aplicar la actualización.

La diferencia es relevante porque el administrador de una instalación autogestionada debe identificar la rama que usa y verificar si su versión incluye el arreglo que necesita. Si se trata de una rama antigua cubierta por el aviso, el paquete disponible corrige CVE-2026-110264, pero no las otras 11 vulnerabilidades; para obtener los 12 arreglos, el aviso dirige a las versiones 19.3.6, 19.4.3 y 19.5.1. No se trata, por tanto, de asumir que cualquier actualización enumerada resuelve todos los problemas.

El caso también muestra por qué la gravedad y el estado de explotación deben leerse como datos distintos. CVE-2026-110264 tiene la máxima puntuación CVSS y permite, bajo ciertas condiciones, ejecución de código sin autenticación, pero GitLab dijo que no conoce ataques que la hayan aprovechado. Esa combinación justifica actuar con urgencia sin presentar como confirmado un incidente que la compañía no reportó.

Además de actualizar, las organizaciones pueden utilizar las dos reglas de detección publicadas por GitLab para buscar intentos de explotación del fallo crítico en sus instancias autogestionadas. El aviso no describe indicadores concretos ni afirma que la detección garantice que un sistema esté libre de compromiso, así que las reglas deben entenderse como una ayuda para identificar actividad sospechosa. La medida central sigue siendo instalar el parche correspondiente a la rama y al nivel de cobertura que cada administrador requiere.

La publicación abarca las ediciones Community y Enterprise y distintas ramas de versiones, con un tratamiento diferente para las más antiguas. La urgencia se concentra en la vulnerabilidad crítica, pero el alcance completo del aviso incluye 11 fallas adicionales que solo quedan corregidas en tres versiones. Para las instalaciones autogestionadas, verificar esa diferencia y actualizar sin demora es el paso señalado por GitLab.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados