Una expresión regular preparada para una configuración de CI/CD podía abrir la puerta a ejecutar código en el servidor de GitLab sin iniciar sesión. La compañía ha corregido el fallo, identificado como CVE-2026-97229 y puntuado con CVSS 10.0, en una publicación crítica que también reúne otras 23 correcciones de seguridad.
GitLab publicó los parches el 12 de octubre de 2026 y recomienda actualizar de inmediato las instalaciones autogestionadas afectadas. Las versiones corregidas son 19.4.2, 19.3.5 y 19.2.8, según la rama utilizada. GitLab.com ya funciona con la versión parcheada y los clientes de GitLab Dedicated no tienen que intervenir.
- Fallo principal: CVE-2026-97229, desbordamiento de enteros en el compilador de expresiones regulares de CI/CD.
- Gravedad: CVSS 10.0, la puntuación máxima.
- Riesgo descrito: ejecución remota de código en el servidor bajo determinadas condiciones, sin autenticación.
- Versiones corregidas: 19.2.8, 19.3.5 o 19.4.2, según la rama.
Qué podía hacer el fallo y por qué preocupa a los administradores
GitLab explica que una validación insuficiente en el compilador de expresiones regulares de CI/CD podía desembocar en un desbordamiento de enteros. Bajo ciertas condiciones, una persona sin autenticar podía enviar una expresión especialmente preparada dentro de una configuración CI/CD y llegar a ejecutar código arbitrario en el servidor.
La combinación de acceso remoto, ausencia de requisitos de autenticación y posible ejecución de código explica la nota CVSS 10.0. No significa que cualquier instancia expuesta sea automáticamente vulnerable o que se haya confirmado un ataque: el aviso describe lo que el fallo podía permitir antes de aplicar el parche. GitLab no publica en esa nota una explotación activa confirmada.
El riesgo merece atención especial en servidores propios accesibles desde Internet. GitLab suele formar parte del flujo de trabajo de desarrollo: almacena repositorios, credenciales de acceso, variables de CI/CD y material usado para construir y desplegar software. Una ejecución de código en el servidor podría, dependiendo de la configuración y los permisos del sistema, ampliar el impacto más allá de la página web.
Comprueba primero la rama y el número de versión
El parche que debes instalar depende de la serie que mantenga tu instancia. No se trata de elegir siempre el número más alto: hay una versión corregida para cada una de las tres ramas incluidas en el aviso.
- Rama 19.2: actualiza a 19.2.8 o posterior dentro de esa rama.
- Rama 19.3: actualiza a 19.3.5 o posterior. GitLab corrigió además en 19.3.5 un error de páginas de merge request que introdujo 19.3.4 cuando estaba activada la integración Ona.
- Rama 19.4: actualiza a 19.4.2 o posterior dentro de esa rama.
El aviso delimita CVE-2026-97229 a versiones de GitLab CE y EE desde 19.2 anteriores a 19.2.8, desde 19.3 anteriores a 19.3.5 y desde 19.4 anteriores a 19.4.2. Si tu instancia usa una rama distinta o una versión antigua, revisa la matriz y las indicaciones completas de GitLab antes de decidir el salto. No mezcles paquetes de ramas diferentes.
La compañía pide a los administradores de instalaciones autogestionadas que actualicen cuanto antes. El procedimiento exacto cambia si se instaló con paquetes Linux, contenedores, Helm, compilación desde código u otra modalidad; utiliza la guía oficial correspondiente y prepara el cambio como una actualización de producción. Después, confirma en la instancia que quedó instalada la versión corregida.
El boletín no corrige solo el fallo CVSS 10
La actualización agrupa 24 problemas de seguridad entre las tres ramas. Algunos de los otros casos afectan también a funciones importantes de desarrollo:
- Una vulnerabilidad de cross-site scripting en el resaltado de sintaxis, CVE-2026-92883, fue puntuada con CVSS 8.7.
- Un problema de autorización podía permitir a usuarios con rol Developer ejecutar pipelines en ramas protegidas sin la autorización debida, CVE-2026-16301, CVSS 8.5.
- Otro fallo en la validación de referencias podía envenenar respuestas en caché de archivos de repositorio y afectar a pipelines, CVE-2026-14814, CVSS 8.2.
- El boletín incluye además un problema en GitLab Duo Agent Platform relacionado con la neutralización de instrucciones para agentes, CVE-2026-96893, CVSS 7.3.
Este conjunto refuerza la recomendación de instalar el parche incluso en equipos que no estén expuestos directamente a Internet: varias correcciones afectan a permisos, repositorios, pipelines y agentes, por lo que el alcance depende de cómo esté configurada cada instancia.
Qué deben hacer los equipos ahora
Si administras GitLab CE o EE en tus propios servidores, identifica la rama instalada y planifica la actualización a su versión corregida sin dejar el sistema en una versión intermedia vulnerable. Revisa también qué método de instalación utilizas y las instrucciones oficiales para ese método. Si dependes de un proveedor gestionado, comprueba su estado de mantenimiento; GitLab afirma que su servicio GitLab.com ya está actualizado y que GitLab Dedicated no requiere una acción del cliente.
El boletín no presenta el caso como una prueba de que alguien haya tomado control de servidores. Lo que sí confirma es una posibilidad de ejecución remota con puntuación máxima y parches disponibles. Para una plataforma que puede estar conectada a código fuente y automatizaciones de despliegue, dejar una instancia afectada sin actualizar es un riesgo difícil de justificar.
En Bytecora ya repasamos la respuesta de SonicWall ante varias vulnerabilidades críticas; el caso de GitLab vuelve a poner el foco en el tiempo entre la publicación de un parche y su instalación efectiva en sistemas expuestos.
Fuentes oficiales
- GitLab: publicación crítica 19.4.2, 19.3.5 y 19.2.8.
- CVE.org: registro de CVE-2026-97229.
- GitLab: documentación oficial de actualización.
Imagen de portada: ilustración editorial generada con IA para Bytecora; no es una captura de GitLab ni una representación de la explotación.
