Vulnerabilidad crítica en GitLab permite ejecución remota de código sin autenticación

GitLab ha publicado actualizaciones de seguridad urgentes para corregir una vulnerabilidad crítica que permite a atacantes ejecutar código arbitrario en servidores afectados sin necesidad de autenticación. La falla, identificada en el compilador de expresiones regulares del sistema CI/CD, afecta tanto a GitLab Community Edition como a Enterprise Edition y posee un impacto alto en confidencialidad, integridad y disponibilidad.

CVE y severidad

  • Identificador: CVE-2026-97229
  • Puntuación CVSS: 10.0 (Crítica)
  • Vector CVSS: AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
  • Componente afectado: Compilador de expresiones regulares en CI/CD
  • Explotación conocida: No se ha reportado explotación activa

Productos afectados

Producto Versiones afectadas Versión parcheada
GitLab Community Edition (CE)

19.2.0 a 19.2.7

19.3.0 a 19.3.3

19.4.0 a 19.4.1

19.2.8

19.3.4

19.4.2
GitLab Enterprise Edition (EE)

19.2.0 a 19.2.7

19.3.0 a 19.3.3

19.4.0 a 19.4.1

19.2.8

19.3.4

19.4.2

Impacto

Una explotación exitosa podría comprometer los datos y el funcionamiento del servidor GitLab. Hasta el momento, el aviso no indica que la vulnerabilidad haya sido explotada en ataques reales.

Recomendaciones

  1. Identificar la versión de cada instalación autogestionada de GitLab CE/EE.
  2. Actualizar de inmediato a la versión corregida de su rama (19.2.8, 19.3.4 o 19.4.2).
  3. Revisar el aviso completo del fabricante, ya que el parche también corrige otras fallas: cross-site scripting (XSS), fallos de autorización y un problema relacionado con prompts en GitLab Duo Agent Platform.
  4. Tener en cuenta un error conocido: La versión 19.3.4 presenta un fallo en las páginas de merge requests cuando la integración Ona está habilitada. GitLab planea corregirlo en la 19.3.5. Esto no debe retrasar la aplicación del parche de seguridad.
  5. Revisar las buenas prácticas de seguridad de instancias GitLab publicadas por el fabricante.

Referencias