GitLab 19.4.2: RCE crítica CVE-2026-97229 en las regex CI/CD

📌 Novedades posteriores: GitLab CVE-2026-110264: también inyección LDAP y request smuggling (22 de octubre de 2026) · GitLab 19.5.1: nueva RCE sin autenticación, CVE-2026-110264 (22 de octubre de 2026) · GitLab CVE-2026-97229: Rapid7 reproduce la RCE; usa la 19.3.5 (12 de octubre de 2026)

El 12 de octubre de 2026 GitLab publicó las versiones 19.4.2, 19.3.4 y 19.2.8 de GitLab Community Edition (CE) y Enterprise Edition (EE). Según el aviso 2026-016 del CERT-EU, las actualizaciones corrigen 24 problemas de seguridad, entre ellos una vulnerabilidad crítica que puede permitir a un atacante no autenticado ejecutar código arbitrario en el servidor. El mismo día el CERT-FR publicó el aviso CERTFR-2026-AVI-1294, que enumera 24 identificadores CVE.

En septiembre ARX News trató la CVE-2026-85706, el path traversal ya explotado que se corrigió con las versiones 19.1.8, 19.2.6 y 19.3.2. Las versiones corregidas de entonces también están afectadas por estas nuevas vulnerabilidades: si te quedaste en ellas, tienes que actualizar de nuevo.

Qué ha pasado

Según el CERT-EU, la vulnerabilidad más grave, la CVE-2026-97229 con puntuación CVSS 10.0, se encuentra en el compilador de expresiones regulares de CI/CD. Una validación débil de las expresiones regulares provoca un integer overflow; una expresión manipulada en una configuración CI/CD puede entonces provocar la ejecución de código. El aviso no describe cómo consigue el atacante que se procese la expresión.

El CERT-EU recomienda encarecidamente actualizar cuanto antes todas las instancias self-managed de GitLab CE/EE, empezando por las expuestas a Internet. Ninguna de las dos fuentes informa de una explotación en curso.

Detalles técnicos

Las otras vulnerabilidades descritas por el CERT-EU:

• CVE-2026-92883 (CVSS 8.7): cross-site scripting en el resaltado de sintaxis; un usuario autenticado puede ejecutar JavaScript arbitrario en el navegador de otros usuarios mediante un repositorio manipulado.
• CVE-2026-16301 (CVSS 8.5): fallo de autorización que permite a un usuario con rol developer ejecutar pipelines en ramas protegidas sin tener permiso.
• otros 21 problemas, entre ellos un fallo de cache poisoning con puntuación 8.2 que puede exponer las variables CI/CD protegidas.

El CERT-FR no describe las vulnerabilidades una por una, pero indica los riesgos en conjunto: ejecución remota de código arbitrario, violación de la confidencialidad y de la integridad de los datos, elusión de la política de seguridad, server-side request forgery (SSRF) y cross-site scripting (XSS).

Versiones afectadas según el CERT-FR:

• GitLab CE y EE 19.4.x anteriores a la 19.4.2;
• GitLab CE y EE 19.3.x anteriores a la 19.3.4;
• GitLab CE y EE anteriores a la 19.2.8.

El CERT-EU indica los mismos umbrales para las instancias self-managed. Los avisos no recogen correcciones para la rama 19.1: la 19.1.8 también es anterior a la 19.2.8.

Versiones corregidas: 19.4.2, 19.3.4 y 19.2.8.

CVE enumeradas por el CERT-FR: CVE-2026-100104, CVE-2026-100755, CVE-2026-101168, CVE-2026-103549, CVE-2026-104661, CVE-2026-105458, CVE-2026-14210, CVE-2026-14552, CVE-2026-14814, CVE-2026-16275, CVE-2026-16301, CVE-2026-5954, CVE-2026-6567, CVE-2026-7767, CVE-2026-78335, CVE-2026-81839, CVE-2026-82632, CVE-2026-84284, CVE-2026-85529, CVE-2026-92528, CVE-2026-9268, CVE-2026-92883, CVE-2026-96893, CVE-2026-97229.

Ambos avisos remiten al boletín de GitLab del 12 de octubre de 2026 (patch release 19.4.2) para los detalles de cada corrección.

Impacto para las empresas europeas e italianas

Un servidor GitLab suele guardar código fuente, configuraciones de las pipelines y credenciales para las integraciones. La vulnerabilidad crítica afecta precisamente al motor CI/CD, y entre las demás correcciones hay un acceso no autorizado a las pipelines de las ramas protegidas y una posible exposición de las variables CI/CD protegidas: son los puntos donde suelen estar los secretos usados para las publicaciones.

Para las entidades incluidas en la NIS2, la gestión de vulnerabilidades y la seguridad de la cadena de suministro del software forman parte de las medidas exigidas. Una instancia de GitLab comprometida también puede afectar al software que se entrega a clientes y socios. En caso de incidente significativo, en Italia la notificación se hace al CSIRT Italia de la ACN.

Qué hacer ya

1. Inventario: localiza todas las instancias GitLab self-managed, con edición (CE o EE) y versión, y comprueba cuáles son accesibles desde Internet.
2. Actualiza: lleva cada instancia a la 19.4.2, la 19.3.4 o la 19.2.8, o a versiones posteriores, empezando por las expuestas a Internet, como recomienda el CERT-EU. Las instancias actualizadas en septiembre a la 19.1.8, la 19.2.6 o la 19.3.2 deben actualizarse de nuevo.
3. Rama 19.1: los avisos no indican una versión corregida; pasa al menos a la 19.2.8.
4. Consulta el boletín de GitLab del 12 de octubre de 2026 para los detalles de cada CVE y las posibles indicaciones del fabricante.
5. Revisa las pipelines: después de actualizar, comprueba en los registros las pipelines ejecutadas recientemente en ramas protegidas y los cambios en las configuraciones CI/CD. Si encuentras actividad anómala, considera expuestos los secretos usados por las pipelines y sustitúyelos.

Cómo ayuda ARXDOME

ARX Expose muestra qué servicios expone tu empresa en Internet, qué productos se reconocen en ellos y cuáles tienen vulnerabilidades conocidas: te ayuda a descubrir si una instancia de GitLab es accesible desde fuera. ARX Shield enumera las vulnerabilidades abiertas en las máquinas supervisadas. ARX Sentry recoge registros y eventos de los servidores en los que está instalado el agente y controla la integridad de los archivos en las carpetas elegidas. Con ARX Horizon puedes consultar desde el portal los detalles de las vulnerabilidades.

Última actualización: 12 de octubre de 2026