Vulnerabilidades y Avisos de Seguridad: Múltiples vulnerabilidades en GitLab CE/EE de GitLab

Resumen de la alerta

GitLab ha publicado una actualización crítica de seguridad para GitLab Community Edition (CE) y Enterprise Edition (EE). El aviso afecta a varias ramas del producto y corrige, entre otros problemas, la vulnerabilidad CVE-2026-110264, clasificada como crítica.

Este fallo podría permitir la ejecución remota de código en el servidor GitLab bajo determinadas condiciones. El escenario descrito no requiere autenticación previa, por lo que las organizaciones con instancias autogestionadas afectadas deben priorizar la actualización.

La fuente consultada indica “Explotación: No” para CVE-2026-110264. Por tanto, no se informa de explotación activa o confirmada de esta vulnerabilidad, aunque su impacto potencial justifica una actuación inmediata.

Recursos afectados

El aviso afecta a instalaciones autogestionadas de GitLab CE y EE. Para la vulnerabilidad crítica CVE-2026-110264, están afectadas las versiones desde la 7.0 anteriores a las siguientes versiones corregidas:

• Rama 18.11: versiones anteriores a 18.11.13.
• Rama 19.0: versiones anteriores a 19.0.10.
• Rama 19.1: versiones anteriores a 19.1.9.
• Rama 19.2: versiones anteriores a 19.2.9.
• Rama 19.3: versiones anteriores a 19.3.6.
• Rama 19.4: versiones anteriores a 19.4.3.
• Rama 19.5: versiones anteriores a 19.5.1.

La versión mínima afectada puede ser distinta para algunas de las demás vulnerabilidades incluidas en el boletín de GitLab.

Descripción de las vulnerabilidades

La vulnerabilidad principal, identificada como CVE-2026-110264, se debe a un desbordamiento de entero durante la compilación de una expresión regular especialmente manipulada. Un desbordamiento de entero se produce cuando una operación numérica supera el rango que puede gestionar el sistema, lo que puede provocar comportamientos no previstos.

Según la información publicada, este comportamiento podría ser aprovechado para lograr ejecución remota de código sin autenticación. En términos prácticos, la ejecución remota de código implica la posibilidad de que un atacante ejecute instrucciones arbitrarias en el servidor afectado.

La actualización también corrige vulnerabilidades de gravedad alta relacionadas con autenticación y envenenamiento de caché en puntos de descubrimiento OAuth/OIDC. El aviso no aporta identificadores ni detalles técnicos adicionales sobre estos fallos, por lo que no es posible concretar su alcance individual.

Impacto y nivel de riesgo

CVE-2026-110264 tiene una severidad crítica debido a que, si se explotara con éxito, podría permitir a un atacante no autenticado ejecutar código arbitrario en el servidor GitLab. La ausencia de requisito de autenticación eleva la prioridad de actualización para las instancias expuestas o accesibles por usuarios no confiables.

El impacto descrito es potencial: la fuente no informa de ataques observados ni de explotación confirmada. No obstante, las organizaciones afectadas deben considerar el riesgo asociado a una vulnerabilidad de ejecución remota de código y aplicar las versiones corregidas disponibles.

Solución y medidas recomendadas

La medida oficial consiste en actualizar las instalaciones autogestionadas de GitLab a la versión corregida correspondiente a cada rama:

• 19.5.1
• 19.4.3
• 19.3.6
• 19.2.9
• 19.1.9
• 19.0.10
• 18.11.13

GitLab.com ya opera con una versión corregida. Asimismo, los clientes de GitLab Dedicated que utilicen 19.3.5-internal0, 19.4.2-internal0 o versiones posteriores ya disponen de la corrección, según el fabricante.

GitLab también ofrece detecciones de amenazas destinadas a facilitar la identificación de intentos de explotación en instancias autogestionadas.

Recomendaciones para organizaciones afectadas

1. Identificar las instancias autogestionadas de GitLab CE y EE desplegadas en la organización y verificar su versión instalada.
2. Priorizar la actualización de los sistemas que ejecuten versiones anteriores a las versiones corregidas indicadas para su rama.
3. Planificar y aplicar la actualización mediante el procedimiento operativo habitual de la organización, teniendo en cuenta la criticidad del servicio GitLab para los equipos de desarrollo.
4. Revisar las capacidades de detección de amenazas disponibles para las instancias autogestionadas, conforme a las opciones proporcionadas por GitLab.
5. Mantener seguimiento de los avisos del fabricante para conocer información adicional sobre las vulnerabilidades incluidas en esta actualización.