GitLab CVE-2026-97229 explotada: CISA la incluye en el KEV

📌 Novedades posteriores: GitLab CVE-2026-97229: ataque a Alpine, hay que actualizar Ruby (29 de octubre de 2026)

El 29 de octubre de 2026 la CISA estadounidense añadió la CVE-2026-97229 de GitLab Community Edition (CE) y Enterprise Edition (EE) a su catálogo Known Exploited Vulnerabilities (KEV), la lista de vulnerabilidades explotadas en ataques reales. Es la vulnerabilidad con puntuación CVSS 10 en el compilador de expresiones regulares de CI/CD que ARX News trató el 12 de octubre, cuando GitLab la corrigió con las versiones 19.4.2, 19.3.5 y 19.2.8.

El panorama cambia: a mediados de octubre ni Rapid7 ni INCIBE-CERT señalaban ataques en curso. La información nueva de este artículo procede de una sola fuente, la ficha del catálogo KEV con el registro NVD vinculado.

Qué dice la CISA

La ficha del catálogo KEV clasifica el fallo como «Integer Overflow or Wraparound» e indica:

• fecha de inclusión: 29 de octubre de 2026;
• plazo: 1 de noviembre de 2026, la fecha límite para que las agencias federales estadounidenses actúen, tres días después de la inclusión;
• uso en campañas de ransomware: desconocido («Unknown»);
• acción requerida: aplicar las mitigaciones según las instrucciones del fabricante, respetando la directiva BOD 26-04 sobre la prioridad de las actualizaciones en función del riesgo y los requisitos de triaje forense de la CISA («Forensics Triage Requirements»). Si las mitigaciones no están disponibles, la CISA indica dejar de usar el producto y pide evaluar la exposición en Internet de cada sistema.

La ficha no describe los ataques: no dice desde cuándo se explota la vulnerabilidad, quién lo hace ni contra qué objetivos, y no incluye indicadores de compromiso.

Detalles técnicos del registro NVD

El registro NVD, publicado el 13 de octubre y actualizado el 29 de octubre, sigue en análisis («Undergoing Analysis»). Recoge:

• descripción: en determinadas condiciones, un usuario no autenticado puede ejecutar código arbitrario en el servidor GitLab mediante una expresión regular manipulada en una configuración de CI/CD, debido a una validación insuficiente de las expresiones regulares;
• debilidad: CWE-190 (integer overflow o wraparound);
• CVSS 3.1: 10.0, vector AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H, asignado por GitLab;
• versiones afectadas: de la 19.2 a la 19.2.8 excluida, de la 19.3 a la 19.3.5 excluida, de la 19.4 a la 19.4.2 excluida;
• referencias: el boletín de la patch release 19.4.2 de GitLab, la incidencia en el tracker de GitLab y dos informes de HackerOne de acceso restringido.

Las condiciones de explotación descritas por Rapid7, ya recogidas en el artículo de mediados de octubre, siguen siendo las únicas públicas: el commit de un archivo .gitlab-ci.yml malicioso en un proyecto público, con una ruta del repositorio que contiene caracteres UTF-8; en las instancias que permiten crear proyectos públicos basta con una cuenta normal. La CISA no dice si los ataques siguen este esquema. En términos de MITRE ATT&CK sigue siendo la explotación de una aplicación expuesta (T1190).

Las versiones de octubre ya no bastan

Las versiones 19.4.2, 19.3.5 y 19.2.8 corrigen la CVE-2026-97229, pero según el aviso del CERT-EU del 22 de octubre están afectadas por la CVE-2026-110264, otra vulnerabilidad con puntuación CVSS 10 y ejecución de código sin autenticación, corregida por GitLab el 21 de octubre. Para las ramas que figuran en el registro NVD, las versiones que cierran ambos fallos son la 19.2.9, la 19.3.6, la 19.4.3 y la 19.5.1 o posteriores.

Como ya contamos el 22 de octubre, según la KISA solo las ramas 19.3, 19.4 y 19.5 tienen versiones corregidas también para otras dos vulnerabilidades del mismo lanzamiento (CVE-2026-15723 y CVE-2026-112212).

El registro NVD no incluye las ramas anteriores a la 19.2, y las fuentes no dicen si están afectadas por la CVE-2026-97229. Para la CVE-2026-110264, el CERT-EU indica como primeras versiones no afectadas la 18.11.13, la 19.0.10 y la 19.1.9.

Impacto para las empresas europeas e italianas

El plazo del 1 de noviembre se aplica a las agencias federales estadounidenses. Para todos los demás, la inclusión en el catálogo KEV significa que la vulnerabilidad ya no es solo teórica.

Las instancias más expuestas son las self-managed accesibles desde Internet, sobre todo las que tienen el registro abierto o en las que los usuarios pueden crear proyectos públicos, la condición señalada por Rapid7. Según las indicaciones de GitLab recogidas a mediados de octubre, GitLab.com ya usa la versión corregida y los clientes de GitLab Dedicated no tienen que hacer nada. Un servidor GitLab suele guardar código fuente, pipelines de publicación y credenciales para las integraciones.

Para las entidades sujetas a NIS2 sigue valiendo lo ya dicho: gestión de vulnerabilidades, seguridad de la cadena de suministro del software y, en caso de incidente significativo, notificación al CSIRT nacional (en Italia, el CSIRT Italia de la ACN).

Qué hacer ya

1. Inventario: identifica todas las instancias GitLab self-managed, con edición, versión y exposición en Internet, como pide la CISA.
2. Actualiza: lleva cada instancia al menos a la 19.2.9, la 19.3.6, la 19.4.3 o la 19.5.1, preferiblemente a la rama 19.3 o posteriores, empezando por las expuestas en Internet. Si estás en la 19.2.8, la 19.3.5 o la 19.4.2, estás protegido frente a la CVE-2026-97229, pero no frente a la CVE-2026-110264.
3. Ramas anteriores a la 19.2: las fuentes no indican una corrección para la CVE-2026-97229; pasa a una de las ramas compatibles indicadas.
4. Verificación de compromiso: la CISA remite a sus requisitos de triaje forense. Busca cambios recientes en .gitlab-ci.yml en los proyectos públicos, sobre todo de cuentas nuevas o poco usadas, y rutas del repositorio con caracteres no ASCII. Las reglas de detección publicadas por GitLab el 21 de octubre se refieren a la CVE-2026-110264: las fuentes no dicen si detectan también la CVE-2026-97229. Ninguna fuente incluye indicadores de compromiso.
5. Si encuentras actividad sospechosa: considera expuesto el servidor, sustituye los secretos usados por las pipelines y las integraciones y evalúa las obligaciones de notificación.

Cómo ayuda ARXDOME

ARX Expose muestra qué servicios expone tu empresa en Internet, qué productos se reconocen en ellos y cuáles tienen vulnerabilidades conocidas: te ayuda a descubrir si una instancia de GitLab es accesible desde fuera. ARX Shield enumera las vulnerabilidades abiertas en las máquinas supervisadas. ARX Sentry recoge registros y eventos de los servidores en los que está instalado el agente y controla la integridad de los archivos en las carpetas establecidas. Con ARX Horizon puedes consultar desde el portal los detalles de las vulnerabilidades.

Última actualización: 29 de octubre de 2026