Más de 1.000 servidores GitLab accesibles desde internet siguen siendo vulnerables a un fallo que los atacantes explotan activamente para ejecutar código de forma remota, según informó BleepingComputer el 2 de noviembre, citando mediciones de Shadowserver. GitLab publicó los parches el 12 de octubre, así que los administradores de instalaciones autogestionadas sin actualizar tienen una actualización urgente que aplicar.
La vulnerabilidad, CVE-2026-97229, afecta a GitLab Community Edition (CE) y Enterprise Edition (EE). CISA confirmó la explotación activa en una alerta del 29 de octubre, en la que anunciaba su inclusión en el catálogo de vulnerabilidades explotadas conocidas, que recoge fallos utilizados en ataques reales.
La cifra de exposición se refiere a servidores vulnerables. Shadowserver indicó el domingo que monitorizaba más de 1.000 instancias vulnerables a CVE-2026-97229.
Cómo el fallo permite la ejecución de código
La vulnerabilidad de gravedad máxima implica un desbordamiento de enteros, una situación en la que un cálculo supera el rango que un programa puede representar. Se encuentra en el compilador de expresiones regulares de CI/CD de GitLab, que procesa patrones de coincidencia de texto en archivos de configuración para las canalizaciones automatizadas de compilación, pruebas y despliegue.
En su comunicado del 12 de octubre, reproducido por BleepingComputer, GitLab indicó que una validación insuficiente de esos patrones podría, en determinadas condiciones, permitir a un usuario no autenticado ejecutar código arbitrario en el servidor. La entrada de ataque es una expresión regular especialmente diseñada en una configuración de CI/CD.
GitLab identificó las versiones CE y EE 19.4.2, 19.3.5 y 19.2.8 como las que contienen las correcciones de seguridad. La empresa recomendó encarecidamente que todas las instalaciones autogestionadas se actualizaran de inmediato. Indicó que GitLab.com ya estaba corregido y que los clientes de GitLab Dedicated no necesitaban tomar medidas.
Un segundo fallo del compilador deja más instancias expuestas
Shadowserver también informó de más de 11.300 instancias vulnerables a CVE-2026-110264 dentro de las unas 39.000 instancias de GitLab que observa a diario. Este fallo independiente del compilador de expresiones regulares, de gravedad máxima y corregido el mes pasado, también permite la ejecución de código arbitrario en las instancias atacadas. La confirmación de explotación de CISA para CVE-2026-97229 se refiere a ese identificador concreto; la cifra de exposición mayor corresponde a CVE-2026-110264.
Otras correcciones de GitLab de este año incluyeron el fallo de gravedad alta que permitía eludir la autenticación en dos pasos en enero (CVE-2026-0723) y el fallo de gravedad máxima en la API de confirmaciones de repositorios de septiembre (CVE-2026-85706), que puede exponer credenciales y otros secretos. CISA marcó este último como explotado activamente después de que watchTowr informara de que los atacantes escaneaban servidores vulnerables.
BleepingComputer informó de que, desde noviembre de 2021, CISA ha añadido seis fallos de GitLab a su catálogo de vulnerabilidades explotadas, uno de ellos utilizado en ataques de ransomware. GitLab afirma que su plataforma tiene más de 70 millones de usuarios registrados y que la usan más de la mitad de las empresas de la lista Fortune 100 en todo el mundo.
Qué deben hacer los administradores
BleepingComputer mencionó un plazo de corrección para las agencias federales que vence un domingo. La directiva vinculante de CISA se aplica a las agencias del Poder Ejecutivo Civil Federal de EE. UU. y prioriza la corrección rápida de las vulnerabilidades catalogadas en activos expuestos públicamente donde la explotación otorga control total. También establece qué se espera en cuanto a comprobar si los atacantes comprometieron sistemas antes de aplicar el parche. CISA anima a otras organizaciones a dar también prioridad a los fallos catalogados.
Los administradores de instalaciones GitLab autogestionadas deben seguir la recomendación de GitLab de actualizar de inmediato a las versiones CE o EE corregidas 19.4.2, 19.3.5 o 19.2.8.
