GitLab ha corregido una vulnerabilidad de ejecución remota de código (RCE) sin autenticación en instalaciones self-managed, rastreada como CVE-2026-110264 y valorada con la puntuación máxima de CVSS 10.0. La falla reside en el compilador de expresiones regulares Onigmo, incluido en los paquetes de GitLab, y se debe a un desbordamiento de enteros durante la compilación de una expresión regular especialmente manipulada. Afecta a todas las versiones desde la 7.0 (2014) y podría permitir a un atacante ejecutar código arbitrario en el servidor, comprometiendo la confidencialidad, integridad y disponibilidad.
CVE y severidad
- CVE-2026-110264 — Severidad: Crítica (CVSS 10.0). Ejecución remota de código sin autenticación mediante desbordamiento de enteros en el compilador de expresiones regulares Onigmo. GitLab no ha especificado las condiciones exactas ni los prerrequisitos para su explotación.
Productos afectados
| Fabricante | Producto | Componente | Versiones afectadas |
|---|---|---|---|
| GitLab | GitLab self-managed | Compilador de expresiones regulares Onigmo | Desde 7.0 hasta 18.11.12; 19.0 antes de 19.0.10; 19.1 antes de 19.1.9; 19.2 antes de 19.2.9; 19.3 antes de 19.3.6; 19.4 antes de 19.4.3; 19.5 antes de 19.5.1 |
GitLab.com ya ejecuta la versión corregida. Los inquilinos de GitLab Dedicated en las versiones internas 19.3.5-internal0 y 19.4.2-internal0 o posteriores ya cuentan con la corrección.
Solución
Actualizar inmediatamente a las versiones corregidas: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 o 18.11.13, según la rama de versión en uso.
Recomendaciones
Los administradores de instancias self-managed deben aplicar la actualización de inmediato, incluso si aplicaron el parche del 12 de octubre, ya que este solo cubría versiones 19.2 y posteriores y dichas instancias vuelven a estar en el rango afectado. Se recomienda planificar la actualización considerando que las versiones 19.4.3 y 19.3.6 incluyen cambios de base de datos que implican tiempo de inactividad en servidores de un solo nodo (los despliegues multinodo pueden aplicar el parche sin interrupción mediante el procedimiento zero-downtime), y revisar los logs con las reglas de detección publicadas por GitLab («Onigmo native worker crash» y «Org mode render error burst»).