GitLab advirtió a sus usuarios de una vulnerabilidad de seguridad crítica, con el máximo nivel de gravedad, en el componente CI/CD Regular Expression Compiler, que podría permitir a un atacante remoto y no autenticado ejecutar código arbitrario en un servidor de GitLab objetivo. La vulnerabilidad lleva el identificador CVE-2026-97229, fue descubierta por un investigador de seguridad que utiliza el seudónimo joaxcar y fue comunicada a través del programa de recompensas por vulnerabilidades de HackerOne.
¿Cómo funciona la vulnerabilidad?
El problema está relacionado con una debilidad de tipo desbordamiento de entero dentro del compilador de expresiones regulares, el componente que analiza, compila y evalúa expresiones regulares en los archivos de configuración de las canalizaciones de CI/CD. Según la declaración de GitLab, en determinadas circunstancias, la validación insuficiente de las expresiones regulares puede explotarse mediante una expresión especialmente diseñada dentro de la configuración de CI/CD, lo que permitiría a un usuario no autenticado ejecutar código en un servidor de GitLab.
Versiones afectadas y actualizaciones
GitLab corrigió el problema en las ediciones Community Edition y Enterprise Edition dentro de las siguientes versiones:
- Versión 19.2.8 o posterior, en lugar de las versiones anteriores a la 19.2.8.
- Versión 19.3.4 o posterior, en lugar de las versiones anteriores a la 19.3.4.
- Versión 19.4.2 o posterior, en lugar de las versiones anteriores a la 19.4.2.
La empresa recomienda a todos los usuarios de instalaciones autogestionadas de GitLab actualizarse de inmediato a una de estas versiones, que también incluyen correcciones de errores y vulnerabilidades de seguridad. El servicio GitLab.com ya funciona con la versión corregida, y los clientes de GitLab Dedicated no necesitan realizar ninguna acción, según la empresa.
¿Por qué es importante esta noticia?
La importancia de la vulnerabilidad radica en que su explotación no requiere autenticación, mientras que un ataque exitoso podría permitir ejecutar código en un servidor que aloja proyectos y canalizaciones de CI/CD. Por ello, el alcance práctico de la afectación se concentra en los entornos que gestionan GitLab por sí mismos, no en los usuarios de GitLab.com o GitLab Dedicated, según la información disponible.
Este tratamiento llega después de una serie de vulnerabilidades que GitLab corrigió durante los últimos meses. En enero, la empresa solucionó una vulnerabilidad de alta gravedad que permitía eludir la autenticación de dos factores, identificada como CVE-2026-0723, mientras que el mes pasado corrigió otra vulnerabilidad con el máximo nivel de gravedad, CVE-2026-85706, que permitía a atacantes no autenticados leer datos sensibles, incluidos credenciales y secretos, de los servidores afectados.
La Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos (CISA) añadió la vulnerabilidad CVE-2026-85706 a su catálogo de vulnerabilidades explotadas activamente un día después de que fuera corregida, y pidió a las agencias federales que protegieran sus sistemas en un plazo de tres días. La información publicada también señaló que CISA detectó la explotación de cinco vulnerabilidades de GitLab en ataques desde noviembre de 2021, incluida una vulnerabilidad utilizada por grupos que ejecutan ataques de ransomware.
La fuente no demuestra que la nueva vulnerabilidad CVE-2026-97229 haya sido explotada activamente hasta ahora, por lo que la medida confirmada sigue siendo la actualización urgente de las versiones autogestionadas y la revisión de las configuraciones de CI/CD pertinentes.