GitLab ha publicado actualizaciones de emergencia para corregir CVE-2026-97229, una vulnerabilidad crítica con la puntuación máxima de 10.0 en la escala CVSS, que permite a un atacante no autenticado ejecutar código arbitrario en el servidor GitLab. El problema afecta a GitLab Community Edition y Enterprise Edition en las versiones 19.2–19.4. Los administradores de instancias autogestionadas de GitLab deben instalar los parches de inmediato: las correcciones están disponibles en las versiones 19.2.8, 19.3.5 y 19.4.2. Según el boletín original, el servicio en la nube GitLab.com ya ha sido actualizado.
Detalles técnicos de CVE-2026-97229
Según el registro en GitHub Advisory Database, la vulnerabilidad se clasifica como CWE-190 (Integer Overflow or Wraparound), es decir, un desbordamiento de entero en el componente de procesamiento de expresiones regulares de las configuraciones de CI/CD. Bajo ciertas condiciones, un atacante podía inyectar una expresión regular especialmente diseñada en la configuración del pipeline y lograr la ejecución de código arbitrario en el lado del servidor. Es crucial destacar que para la explotación no se requería autenticación.
Versiones afectadas de GitLab CE/EE:
- 19.2: todas las versiones anteriores a la 19.2.8;
- 19.3: todas las versiones anteriores a la 19.3.5;
- 19.4: todas las versiones anteriores a la 19.4.2.
Los registros en NVD y en el CVE Program confirman el nivel crítico de gravedad. En el momento de la publicación no se han identificado evidencias independientes de explotación activa de CVE-2026-97229 en la naturaleza, y la vulnerabilidad no se ha incluido en el catálogo CISA KEV. Sin embargo, la ausencia de datos sobre explotación no significa que esta no esté ocurriendo: la puntuación máxima de CVSS y la ausencia de requisito de autenticación hacen que esta vulnerabilidad sea un objetivo atractivo.
Vulnerabilidades adicionales en la misma actualización
El lanzamiento de parches GitLab 19.4.2 corrige también varias vulnerabilidades graves adicionales, confirmadas por fuentes independientes:
- CVE-2026-92883 (CVSS 8.7): cross-site scripting (XSS) que permite a un atacante autenticado ejecutar JavaScript arbitrario en los navegadores de otros usuarios mediante un repositorio especialmente preparado. El problema está relacionado con un saneamiento incorrecto de los atributos HTML en el resaltado de sintaxis. Confirmado en el registro oficial de CVE.
- CVE-2026-16301 (CVSS 8.5, según el boletín original): fallo en la comprobación de permisos de acceso, por el que un usuario con rol Developer podía ejecutar pipelines de CI/CD en ramas protegidas sin los permisos correspondientes. Afecta a las ramas a partir de la 18.7, lo que está confirmado por el registro en GitHub Advisory Database.
Contexto importante: diferencias en las zonas de riesgo
Los administradores deben tener en cuenta que el lanzamiento de parches actual abarca vulnerabilidades con cobertura de ramas diferente. CVE-2026-97229 afecta a las ramas 19.2–19.4, mientras que la previamente revelada CVE-2026-85706, otra vulnerabilidad crítica de GitLab con puntuación CVSS 10.0 que permitía a un usuario no autenticado leer archivos arbitrarios a través del API de commits, abarcaba las ramas desde la 18.7 hasta la 19.3. CVE-2026-85706 se ha incluido en el catálogo CISA KEV con fecha de incorporación 11 de septiembre de 2026 y plazo de corrección 14 de septiembre de 2026, lo que indica explotación confirmada en la naturaleza. Los detalles de esta vulnerabilidad están disponibles en el GitHub Advisory, y nosotros ya escribimos sobre esta vulnerabilidad anteriormente.
Esto significa que el enfoque para la corrección debe ser diferenciado: las organizaciones en las ramas 18.7–19.1 pueden no estar afectadas por CVE-2026-97229, pero deberían haber corregido CVE-2026-85706 ya en septiembre. Las organizaciones en las ramas 19.2–19.4 están expuestas a ambas amenazas.
Recomendaciones
- Actualice de inmediato las instancias autogestionadas de GitLab CE/EE a las versiones 19.4.2, 19.3.5 o 19.2.8, según la rama utilizada. La información sobre el parche está disponible en el boletín oficial de GitLab.
- Revise las configuraciones de los pipelines de CI/CD en busca de expresiones regulares sospechosas o atípicas; esto puede indicar intentos de explotación de CVE-2026-97229.
- Realice un análisis retrospectivo de los registros, especialmente si su instancia ha estado accesible desde internet. Preste atención a accesos inusuales al API de commits (para CVE-2026-85706) y a la creación o modificación de configuraciones de CI/CD por parte de usuarios desconocidos (para CVE-2026-97229).
- Si la instancia funcionó con una versión vulnerable en el período anterior a la publicación del parche y era de acceso público, realice una rotación de secretos: tokens de acceso, variables de entorno de CI/CD y claves de despliegue.
- Según el boletín original, los clientes de GitLab.com y GitLab Dedicated no necesitan tomar ninguna medida.
Dos vulnerabilidades críticas con la puntuación máxima CVSS 10.0 en GitLab durante los dos últimos meses —CVE-2026-85706 en septiembre y CVE-2026-97229 en octubre— subrayan la necesidad de una gestión de parches rápida para las instancias autogestionadas. La prioridad es actualizar de inmediato a las versiones corregidas y realizar una comprobación retrospectiva en busca de indicios de compromiso, especialmente en los servidores con acceso público.
