Las organizaciones que usan servidores GitLab vulnerables enfrentan ataques activos contra CVE-2026-97229, una vulnerabilidad de gravedad máxima que puede permitir a los atacantes ejecutar código sin iniciar sesión, en determinadas condiciones. La Agencia de Ciberseguridad y Seguridad de Infraestructuras de Estados Unidos (CISA) añadió la vulnerabilidad a su catálogo de vulnerabilidades explotadas el 29 de octubre, lo que sitúa la corrección como una prioridad inmediata para los administradores.
Tanto GitLab Community Edition (CE) como Enterprise Edition (EE) están afectadas. BleepingComputer informó el 30 de octubre que GitLab había corregido el problema a principios de ese mes en las versiones 19.4.2, 19.3.5 y 19.2.8. La empresa también publicó detecciones de amenazas para los clientes que operan instancias autogestionadas, tras detectar intentos de explotación.
El ataque llega al servidor mediante una expresión regular especialmente diseñada (un patrón que se usa para localizar coincidencias en un texto) dentro de una configuración de CI/CD, que define las tareas automatizadas de compilación y despliegue de software. La debilidad está en el Regular Expression Compiler de GitLab e implica un desbordamiento de entero, es decir, un cálculo que supera el rango numérico del software. BleepingComputer citó a GitLab al afirmar que una validación inadecuada de estas expresiones podría, en determinadas condiciones, permitir a un usuario no autenticado ejecutar código en el servidor.
La exposición potencial va más allá de unas pocas instalaciones: BleepingComputer citó el recuento de Shadowserver, que identifica casi 2.800 instancias de GitLab CE expuestas a internet, aunque no se especificó su estado de parcheo.
La Directiva Operativa Vinculante 26-04 de CISA exige a las agencias civiles del Poder Ejecutivo Federal de Estados Unidos que den prioridad a las vulnerabilidades explotadas que cumplan los requisitos en sistemas expuestos públicamente, y establece expectativas para verificar si hay compromiso antes de aplicar parches. BleepingComputer informó de un plazo de corrección para esta vulnerabilidad que vence el domingo. Estos requisitos se aplican a dichas agencias federales; CISA también anima a otras organizaciones a dar prioridad a la corrección.
Los administradores de servidores GitLab afectados deben seguir la recomendación de la empresa de aplicar el parche de inmediato, instalando 19.4.2, 19.3.5 o 19.2.8 según su respectiva rama de lanzamiento. Los clientes con instancias autogestionadas también pueden usar las detecciones de amenazas publicadas por GitLab para respaldar la investigación de los intentos de explotación.
