GitLab CVE-2026-110264: también inyección LDAP y request smuggling

El 22 de octubre ARX News trató la CVE-2026-110264 de GitLab Community Edition (CE) y Enterprise Edition (EE), el desbordamiento de entero en el compilador de expresiones regulares con puntuación CVSS 10, a partir de los avisos del CERT-EU y del NCSC-NL. En las horas siguientes publicaron sus avisos la KISA/KrCERT de Corea, la CSA de Singapur (SingCERT) y el INCIBE-CERT; también informaron The Hacker News y heise Security. A continuación, las novedades que importan si gestionas instancias de GitLab autogestionadas.

Qué confirman los nuevos avisos

Las versiones afectadas y las corregidas coinciden en todas las fuentes: GitLab CE y EE desde la 7.0, con primeras versiones no afectadas 18.11.13, 19.0.10, 19.1.9, 19.2.9, 19.3.6, 19.4.3 y 19.5.1. Es el motivo del titular de The Hacker News, que habla de doce años de versiones afectadas.

Según SingCERT, la puntuación es 10 sobre 10 en CVSS v3.1: un atacante no autenticado que explote la vulnerabilidad puede ejecutar código arbitrario y llegar a comprometer el sistema. El aviso pide actualizar de inmediato.

El INCIBE-CERT añade dos precisiones:

• el desbordamiento se produce al compilar una expresión regular especialmente manipulada y permite la ejecución de código sin autenticación «en determinadas condiciones», que el aviso no describe;
• en su tabla la vulnerabilidad figura como no explotada. Ninguna de las demás fuentes señala ataques en curso.

Las fuentes no dicen si la CVE-2026-110264 está relacionada con la CVE-2026-97229, corregida a principios de octubre, que también era un desbordamiento de entero en el compilador de expresiones regulares.

Las demás vulnerabilidades de la versión

Además de la crítica, el CERT-EU contaba 2 vulnerabilidades de gravedad alta, 5 medias y 4 bajas, sin identificadores. El aviso de la KISA nombra dos:

• CVE-2026-15723, inyección LDAP en GitLab CE/EE: afectadas las versiones desde la 10.1 anteriores a la 19.3.6, la 19.4 anterior a la 19.4.3 y la 19.5 anterior a la 19.5.1;
• CVE-2026-112212, HTTP request/response smuggling: afectadas las versiones desde la 18.3 anteriores a la 19.3.6, la 19.4 anterior a la 19.4.3 y la 19.5 anterior a la 19.5.1.

La KISA no indica la gravedad de estas dos vulnerabilidades ni las condiciones de explotación. El INCIBE-CERT, por su parte, escribe que la versión corrige también vulnerabilidades altas de autenticación y de envenenamiento de caché en los puntos de descubrimiento OAuth/OIDC, sin indicar identificadores. Las fuentes no permiten decir si se trata de las mismas vulnerabilidades que enumera la KISA.

Un punto práctico: para estas dos CVE, la tabla de la KISA indica versiones corregidas solo para las ramas 19.3, 19.4 y 19.5. Para las ramas 18.11, 19.0, 19.1 y 19.2, que tienen su propia versión corregida para la CVE-2026-110264, la KISA no indica ninguna corrección. Las demás fuentes no entran en este detalle: compruébalo en el boletín de GitLab de la patch release 19.5.1.

En el mismo aviso la KISA recoge también dos vulnerabilidades de la patch release 19.4.1, un desbordamiento de entero (CVE-2026-93577) y un double free (CVE-2026-89078), corregidas en las versiones 19.2.7, 19.3.3 y 19.4.1. Si ya instalaste las versiones indicadas en los artículos de octubre, ya las tienes corregidas.

GitLab.com y GitLab Dedicated

Según el INCIBE-CERT, que recoge las indicaciones del fabricante, GitLab.com ya ejecuta una versión corregida. Las instancias de GitLab Dedicated con la 19.3.5-internal0, la 19.4.2-internal0 o posteriores ya incluyen la corrección. La intervención afecta sobre todo a las instalaciones autogestionadas.

Impacto para las empresas europeas e italianas

Para la CVE-2026-110264 siguen valiendo las prioridades ya indicadas: un servidor GitLab guarda código fuente, pipelines y credenciales, y el rango afectado incluye en la práctica cualquier instalación no actualizada a las versiones del 21 de octubre.

Las dos CVE identificadas por la KISA afectan a funciones habituales en las instalaciones empresariales: la integración con directorios LDAP y el tráfico HTTP que pasa por los proxies y balanceadores situados delante de GitLab. Las fuentes no dicen qué configuraciones están expuestas, así que conviene no dar por hecho que no te afecta.

Para las entidades sujetas a NIS2 vale lo ya escrito: gestión de vulnerabilidades, seguridad de la cadena de suministro del software y, en caso de incidente significativo, notificación al CSIRT nacional (en Italia, CSIRT Italia de la ACN; en España, INCIBE-CERT o CCN-CERT según el ámbito).

Qué hacer ya

1. Actualiza cada instancia autogestionada al menos a la primera versión no afectada de su rama (18.11.13, 19.0.10, 19.1.9, 19.2.9, 19.3.6, 19.4.3 o 19.5.1), empezando por las expuestas a Internet.
2. Prefiere las ramas 19.3, 19.4 o 19.5: son las únicas para las que la KISA indica corregidas también la CVE-2026-15723 y la CVE-2026-112212. Si te quedas en una rama anterior, comprueba en el boletín de la 19.5.1 si las dos correcciones están incluidas.
3. GitLab Dedicated: comprueba que la instancia esté al menos en la 19.3.5-internal0 o en la 19.4.2-internal0.
4. Detección: aplica a los registros las reglas de detección publicadas por GitLab, ya descritas en el artículo del 22 de octubre. Ninguna fuente publica indicadores de compromiso.
5. Si encuentras actividad sospechosa: considera expuesto el servidor, sustituye los secretos usados por las pipelines y las integraciones, incluidas las credenciales de servicio LDAP, y valora las obligaciones de notificación.

Cómo ayuda ARXDOME

ARX Expose muestra qué servicios expone tu empresa en Internet, qué productos se reconocen en ellos y cuáles tienen vulnerabilidades conocidas: te ayuda a descubrir si una instancia de GitLab es accesible desde fuera. ARX Shield enumera las vulnerabilidades abiertas en las máquinas supervisadas. ARX Sentry recoge registros y eventos de los servidores en los que está instalado el agente y controla la integridad de los archivos en las carpetas establecidas. Con ARX Horizon puedes consultar desde el portal los detalles de las vulnerabilidades.

Última actualización: 22 de octubre de 2026