GitLab corrigió 24 fallas de seguridad en GitLab CE y EE, entre ellas una crítica (CVSS 10.0) que permite a un atacante no autenticado ejecutar código en el servidor. Afecta a instancias autogestionadas anteriores a 19.4.2, 19.3.4 y 19.2.8. Actualiza cuanto antes, partiendo por las instancias expuestas a Internet.
Qué está pasando
El 12 de octubre de 2026, GitLab publicó las versiones 19.4.2, 19.3.4 y 19.2.8 de GitLab Community Edition (CE) y Enterprise Edition (EE), que corrigen 24 problemas de seguridad. El más grave, CVE-2026-97229 (CVSS 10.0), podría permitir que un atacante sin credenciales ejecute código arbitrario en el servidor.
Esta falla está en el compilador de expresiones regulares de CI/CD. Una validación débil de las expresiones regulares provoca un desbordamiento de entero (integer overflow), y una expresión especialmente diseñada dentro de una configuración de CI/CD puede terminar ejecutando código.
La misma actualización corrige otras fallas importantes: un cross-site scripting en el resaltado de sintaxis (CVE-2026-92883, CVSS 8.7) que permite a un usuario autenticado ejecutar JavaScript en el navegador de otros usuarios mediante un repositorio manipulado, y una falla de autorización (CVE-2026-16301, CVSS 8.5) que permite a un desarrollador ejecutar pipelines en ramas protegidas sin permiso. Entre las 21 fallas restantes hay un envenenamiento de caché (8.2) que podría exponer variables protegidas de CI/CD.
Vulnerabilidades
| CVE | CVSS | Descripción |
|---|---|---|
| CVE-2026-97229 | 10.0 | Desbordamiento de entero en el compilador de expresiones regulares de CI/CD que permite a un atacante no autenticado ejecutar código arbitrario en el servidor mediante una configuración de CI/CD manipulada. |
| CVE-2026-92883 | 8.7 | Cross-site scripting en el resaltado de sintaxis que permite a un usuario autenticado ejecutar JavaScript en el navegador de otros usuarios a través de un repositorio manipulado. |
| CVE-2026-16301 | 8.5 | Falla de autorización que permite a un desarrollador ejecutar pipelines en ramas protegidas sin permiso. |
Productos afectados
| Producto | Versiones afectadas | Versión corregida |
|---|---|---|
| GitLab CE/EE (autogestionado) | Rama 19.4 anteriores a 19.4.2 | 19.4.2 |
| GitLab CE/EE (autogestionado) | Rama 19.3 anteriores a 19.3.4 | 19.3.4 |
| GitLab CE/EE (autogestionado) | Rama 19.2 anteriores a 19.2.8 | 19.2.8 |
Qué hacer ahora
- Identifica todas las instancias autogestionadas de GitLab CE/EE y verifica qué versión tienen instalada.
- Actualiza primero las instancias expuestas a Internet a 19.4.2, 19.3.4 o 19.2.8, según la rama que uses.
- Actualiza luego el resto de las instancias internas a una versión corregida.
Te ayudamos a revisar sin costo si tus servidores o equipos usan una versión afectada por esta alerta, y qué conviene hacer primero.
GitLab suele concentrar el código fuente, los secretos de CI/CD y el acceso a los entornos de producción, así que una ejecución de código en ese servidor puede abrir la puerta a toda la cadena de despliegue. Prioriza cualquier instancia accesible desde Internet y no olvides las que quedaron instaladas por equipos de desarrollo fuera del inventario formal, o las de pruebas que nadie actualiza.
Después de actualizar, conviene revisar quién tiene permisos para modificar configuraciones de CI/CD, confirmar que el registro público de usuarios esté desactivado si no lo necesitas, y considerar rotar tokens y variables protegidas de CI/CD si la instancia estuvo expuesta con una versión vulnerable. Antes de actualizar, asegúrate de tener un respaldo reciente de la instancia.
Cómo te ayuda UpTech
Mientras aplicas la actualización, podemos definir en Cerberus WAF reglas específicas para las rutas y parámetros vulnerables de tu sitio. Reduce la exposición, pero no reemplaza el parche.
Conocer el servicio → Servicios Gestionados TICon Gestión de Parches, las actualizaciones de seguridad de sistemas operativos y aplicaciones se aplican de forma programada, sin depender de que alguien lea esta alerta a tiempo.
Conocer el servicio → Servicios Gestionados TICon el inventario automatizado de hardware y software sabes de inmediato qué equipos tienen la versión afectada.
Conocer el servicio →