La plataforma de desarrollo de software GitLab ha lanzado actualizaciones de seguridad urgentes para abordar una vulnerabilidad de alta gravedad en el motor de compilación de expresiones regulares (Regular Expression Compiler), la cual permite a atacantes no autenticados ejecutar código arbitrario de forma remota en servidores vulnerables.
La vulnerabilidad lleva el identificador CVE-2026-110264 y fue descubierta por un investigador de seguridad conocido bajo el seudónimo joaxcar a través del programa de recompensas por errores en la plataforma HackerOne. El problema de seguridad surge debido a un error de desbordamiento de enteros (integer overflow) dentro del motor de expresiones regulares de backend, que se encarga de analizar y validar las expresiones regulares en los archivos de configuración.
Versiones afectadas y soluciones requeridas
La empresa ha corregido el fallo en las versiones de la comunidad (CE) y las versiones empresariales (EE) para los números 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 y 18.11.13. La compañía advirtió a todos los usuarios y administradores sobre la necesidad de actualizar de inmediato para evitar riesgos.
La empresa aclaró que la plataforma GitLab.com ya cuenta con la versión actualizada, mientras que los suscriptores de GitLab Dedicated recibieron las actualizaciones en las versiones posteriores a 19.3.5-internal0 y 19.4.2-internal0 sin necesidad de realizar acciones adicionales.
¿Por qué es importante esta noticia?
Esta vulnerabilidad destaca los crecientes riesgos asociados con los componentes de análisis de expresiones regulares en plataformas de desarrollo populares, ya que los informes de la red de monitoreo de amenazas Shadowserver indican la existencia de más de 2700 servidores comunitarios de GitLab expuestos en Internet. Esta vulnerabilidad adquiere una gravedad adicional dado que surge poco después de la detección de otras vulnerabilidades críticas en la misma plataforma, entre ellas la registrada con el número CVE-2026-97229, también vinculada al motor de expresiones regulares en los sistemas de integración continua y entrega continua (CI/CD), y la vulnerabilidad anterior CVE-2026-85706, que fue explotada por la Agencia de Ciberseguridad de EE. UU. (CISA) en ataques reales.