GitLab 19.5.1: nueva RCE sin autenticación, CVE-2026-110264

El 21 de octubre de 2026 GitLab publicó la patch release 19.5.1 de GitLab Community Edition (CE) y Enterprise Edition (EE). Según el aviso 2026-019 del CERT-EU, publicado el 22 de octubre, las actualizaciones corrigen una vulnerabilidad crítica, la CVE-2026-110264 con puntuación CVSS 10, que puede permitir a un usuario no autenticado ejecutar código arbitrario en el servidor GitLab, y otras 11 vulnerabilidades. El mismo día el NCSC-NL neerlandés publicó el aviso NCSC-2026-0447 sobre las vulnerabilidades corregidas en GitLab.

En octubre ARX News trató la CVE-2026-97229, también con puntuación CVSS 10, corregida con las versiones 19.4.2, 19.3.5 y 19.2.8. Esas versiones entran en los rangos afectados por la nueva vulnerabilidad: si las instalaste, tienes que actualizar de nuevo.

Qué ha pasado

Según el CERT-EU, la CVE-2026-110264 es un desbordamiento de enteros (integer overflow) en el compilador de expresiones regulares de GitLab, que puede permitir a un usuario no autenticado ejecutar código arbitrario en el servidor afectado. El aviso no describe en detalle el vector de ataque ni las condiciones de explotación, y no indica si la vulnerabilidad ya se está explotando en ataques reales.

También la CVE-2026-97229 del 12 de octubre era, según el CERT-EU, un desbordamiento de enteros en el compilador de expresiones regulares, en ese caso el de CI/CD. El aviso del 22 de octubre no dice si las dos vulnerabilidades están relacionadas.

El CERT-EU recomienda actualizar cuanto antes las instancias afectadas, empezando por las expuestas a Internet, y realizar una evaluación de compromiso para identificar posibles sistemas ya vulnerados.

El texto del aviso del NCSC-NL no estaba disponible en el momento de redactar este artículo. En el título, el NCSC-NL lo clasifica como «M/H»: en su escala, probabilidad media y daño alto.

Detalles técnicos

• CVE-2026-110264: CVSS 10, desbordamiento de enteros en el compilador de expresiones regulares; ejecución de código arbitrario sin autenticación.
• Otras correcciones: según el CERT-EU, GitLab también corrigió 2 vulnerabilidades de gravedad alta, 5 de gravedad media y 4 de gravedad baja. El aviso no indica sus identificadores ni su descripción y remite al boletín de GitLab de la patch release 19.5.1.
• MITRE ATT&CK: la explotación de un servicio expuesto sin autenticación corresponde a T1190 (Exploit Public-Facing Application).

Versiones afectadas por la CVE-2026-110264, GitLab CE y EE, según el CERT-EU:

• desde la 7.0 hasta la 18.11.13 excluida;
• 19.0 anteriores a la 19.0.10;
• 19.1 anteriores a la 19.1.9;
• 19.2 anteriores a la 19.2.9;
• 19.3 anteriores a la 19.3.6;
• 19.4 anteriores a la 19.4.3;
• 19.5 anteriores a la 19.5.1.

Primeras versiones no afectadas de cada rama: 18.11.13, 19.0.10, 19.1.9, 19.2.9, 19.3.6, 19.4.3 y 19.5.1. Ahora también hay un umbral para la rama 19.1, para la que los avisos del 12 de octubre no indicaban ninguno.

Detección

Según el CERT-EU, GitLab ha publicado dos reglas de detección para identificar intentos de explotación, en su repositorio público gitlab-security-oss/tldr:

• onigmo_native_worker_crash;
• org_mode_render_error_burst.

El aviso no describe su contenido: consúltalas en el repositorio de GitLab y aplícalas a los registros de tus instancias. Ninguna de las fuentes publica indicadores de compromiso.

Impacto para las empresas europeas e italianas

Como ya se explicó en los artículos anteriores, un servidor GitLab suele guardar código fuente, configuraciones de las pipelines y credenciales para las integraciones. El rango indicado por el CERT-EU empieza en la versión 7.0: afecta, por tanto, a todas las instalaciones CE y EE que todavía no tienen una de las versiones del 21 de octubre.

Es la tercera vulnerabilidad de GitLab con puntuación CVSS 10 que ARX News trata en poco más de un mes, después de la CVE-2026-85706 de septiembre y la CVE-2026-97229 de octubre. Quien gestiona instancias de GitLab debe contar con actualizaciones muy seguidas, fuera del ciclo normal de parches.

Para las entidades sujetas a NIS2, la gestión de vulnerabilidades y la seguridad de la cadena de suministro del software forman parte de las medidas exigidas. En caso de incidente significativo, en Italia la notificación se hace al CSIRT Italia de la ACN.

Qué hacer ahora

1. Inventario: identifica todas las instancias de GitLab CE y EE, con su versión, y comprueba cuáles son accesibles desde Internet.
2. Actualiza: lleva cada instancia al menos a la primera versión no afectada de su rama (18.11.13, 19.0.10, 19.1.9, 19.2.9, 19.3.6, 19.4.3 o 19.5.1), empezando por las expuestas a Internet, como recomienda el CERT-EU. También vale para las instancias actualizadas en octubre a la 19.4.2, la 19.3.5 o la 19.2.8.
3. Evaluación de compromiso: aplica las dos reglas de detección de GitLab a los registros, empezando por las instancias expuestas.
4. Consulta el boletín de GitLab de la patch release 19.5.1 para los detalles de las otras 11 vulnerabilidades.
5. Si encuentras actividad sospechosa: considera expuesto el servidor, sustituye los secretos usados por las pipelines y evalúa las obligaciones de notificación.

Cómo ayuda ARXDOME

ARX Expose muestra qué servicios expone tu empresa a Internet, qué productos se reconocen en ellos y cuáles tienen vulnerabilidades conocidas: te ayuda a descubrir si una instancia de GitLab es accesible desde fuera. ARX Shield enumera las vulnerabilidades abiertas en las máquinas monitorizadas. ARX Sentry recoge registros y eventos de los servidores en los que está instalado el agente y controla la integridad de los archivos en las carpetas establecidas. Con ARX Horizon puedes consultar desde el portal los detalles de las vulnerabilidades.

Última actualización: 22 de octubre de 2026