Si tu equipo tiene GitLab instalado en un servidor propio, hoy toca actualizar. GitLab publicó un parche para una falla con la calificación de gravedad más alta que existe: 10 de 10.
El problema permitiría que alguien sin cuenta ejecute código en el servidor. Ahí suele vivir lo más valioso de un equipo de desarrollo: el código fuente, las llaves de acceso y los procesos que publican las aplicaciones.
¿Qué pasó?
El 12 de octubre de 2026 GitLab publicó una actualización de seguridad crítica para sus ediciones Community (CE) y Enterprise (EE). La falla principal se registró como CVE-2026-97229 y tiene una puntuación CVSS de 10.0, el máximo de la escala con la que se mide la gravedad de las vulnerabilidades.
El error está en la parte de GitLab que procesa expresiones regulares dentro de CI/CD. CI/CD es el sistema que prueba y publica tu código de forma automática, y una expresión regular es un patrón para buscar texto. Según el aviso, una expresión armada a propósito dentro de una configuración de CI/CD provoca un desbordamiento de enteros, es decir, un cálculo que se sale del rango que el programa esperaba. Con eso, y bajo ciertas condiciones, un usuario sin autenticarse podría ejecutar código en el servidor.
GitLab no detalla cuáles son esas condiciones. El aviso tampoco dice que la falla ya se esté usando en ataques. La reportó el investigador joaxcar a través del programa de recompensas de GitLab en HackerOne.
Las versiones 19.4.2 y 19.2.8 ya traen la corrección; para la rama 19.3 también hay parche. Están afectadas las instalaciones de las ramas 19.2, 19.3 y 19.4 que no tengan estas correcciones.
La misma actualización corrige más problemas. Entre ellos hay una falla que permitía ejecutar scripts en la sesión de otros usuarios, errores de permisos en los pipelines y un problema en GitLab Duo Agent Platform, donde se podían colar instrucciones para el agente de IA.
¿Por qué te importa?
Un servidor de GitLab guarda código, contraseñas de despliegue y accesos a otros sistemas. Quien logra ejecutar código ahí puede leer todo eso y además modificar lo que se publica a producción.
Lo más delicado es que, según GitLab, no hace falta tener una cuenta. Eso deja más expuestos a los servidores que se pueden alcanzar desde internet.
Si usas GitLab.com no tienes que hacer nada: GitLab informó que su servicio ya corre la versión corregida. Lo mismo aplica para los clientes de GitLab Dedicated. La tarea es para quienes instalaron y administran GitLab por su cuenta.
En septiembre GitLab ya había corregido otras fallas en el mismo componente, aunque aquellas sí requerían iniciar sesión. Conviene tener este servidor siempre entre los primeros de tu lista de parches.
¿Qué puedes hacer?
- Revisa qué versión de GitLab tienes instalada. La encuentras en la página de ayuda de tu instancia o en el área de administración.
- Actualiza cuanto antes a la versión corregida de tu rama: 19.4.2 o 19.2.8. Si estás en la rama 19.3, toma la versión que indica el aviso oficial de GitLab.
- Haz un respaldo antes de actualizar y avisa a tu equipo: el parche incluye migraciones de base de datos, así que una instalación de un solo servidor tendrá unos minutos fuera de servicio.
- Si no puedes actualizar hoy, limita el acceso a tu GitLab desde internet, por ejemplo con una VPN o una lista de direcciones permitidas, mientras aplicas el parche.
- Lee el aviso completo, no solo el titular: la actualización corrige más de veinte fallas.
Sigue leyendo
Fuentes
- GitLab: GitLab Critical Patch Release: 19.4.2, 19.3.5, 19.2.8
- Cyber Security News: Critical GitLab Vulnerability Enables Arbitrary Code Execution Attacks on Servers
Imagen de portada: foto de panumas nikhomkhai en Pexels.