Más de 1.000 servidores GitLab accesibles desde Internet siguen sin corregir una vulnerabilidad crítica que ya se está utilizando en ataques de ejecución remota de código. Shadowserver informó que mantiene bajo observación esas instancias, pese a que GitLab publicó actualizaciones de seguridad el 12 de octubre.
La falla, identificada como CVE-2026-97229, afecta al compilador de expresiones regulares de CI/CD. Un desbordamiento de enteros puede permitir que una expresión especialmente preparada en la configuración de un pipeline lleve a ejecutar código en el servidor afectado.
Una expresión regular preparada para explotar el fallo
GitLab describió el problema como una validación insuficiente de expresiones regulares. En determinadas condiciones, un usuario sin autenticar podía ejecutar código arbitrario mediante una expresión introducida en una configuración de CI/CD. La empresa publicó correcciones para GitLab Community Edition y Enterprise Edition en las versiones 19.4.2, 19.3.5 y 19.2.8.
“GitLab has remediated an issue that, under certain conditions, could have allowed an unauthenticated user to execute arbitrary code on the GitLab server via a specially crafted regular expression in a CI/CD configuration, due to insufficient regular expression validation,”
— GitLab
Rapid7 asignó a la vulnerabilidad una puntuación CVSS 10.0 y reprodujo la ejecución de código en una imagen oficial sin parche de GitLab CE. En sus pruebas, la cadena requería poder introducir un archivo malicioso .gitlab-ci.yml en un proyecto público. Rapid7 señala que, en instancias que permiten el registro de usuarios y la creación de proyectos, una cuenta corriente puede cumplir ese requisito.
Ese matiz describe la ruta que Rapid7 probó; GitLab indicó que, bajo ciertas condiciones, el fallo podía explotarse sin autenticación. La diferencia importa al valorar la exposición, pero no cambia la recomendación de actualizar las instalaciones autogestionadas afectadas.
Alpine Linux detectó un intento que no llegó a ejecutarse
La explotación ya había llegado a objetivos concretos. SecurityWeek informó que Alpine Linux detectó un ataque contra su instancia de GitLab los días 20 y 21 de octubre. El atacante utilizó una cuenta recién registrada para enviar configuraciones de CI/CD preparadas, que provocaron el cierre del proceso de trabajo.
Alpine dijo que el intento no consiguió ejecutar código, aunque no pudo descartar por completo que el servidor hubiera sido comprometido. En cuatro de los cierres, el atacante habría avanzado parte del exploit antes de fallar. También descargó la imagen de contenedor de GitLab de Alpine, algo que, según la distribución, apuntaba a que estaba ajustando el exploit a esa compilación. Alpine reconstruyó la instancia y comprobó que el repositorio aports, los paquetes y las publicaciones del 21 de octubre no habían sido alterados.
El caso mostró además una particularidad para instalaciones que usan Ruby propio: Alpine explicó que actualizar GitLab no bastó en su entorno, porque la vulnerabilidad también afecta al motor de expresiones regulares Onigmo de Ruby. Para quienes ejecuten GitLab con una versión de Ruby compilada desde el código fuente o incluida en una imagen propia, Alpine indicó que hace falta actualizar también Ruby a una versión corregida.
Qué versiones deben actualizarse
La Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos (CISA) incorporó CVE-2026-97229 a su catálogo de vulnerabilidades explotadas conocidas. Rapid7 sitúa esa incorporación el 29 de octubre; BleepingComputer informa de que CISA ordenó a las agencias federales proteger sus servidores antes del domingo.
Las instalaciones autogestionadas de GitLab CE y EE deben actualizar a la versión corregida de su rama: 19.2.8, 19.3.5 o 19.4.2, según corresponda. GitLab.com ya funciona con una versión parcheada y los clientes de GitLab Dedicated no tienen que intervenir, según la empresa.
Hasta completar la actualización, Rapid7 recomienda restringir el acceso anónimo a proyectos públicos y evitar que usuarios no confiables creen o modifiquen proyectos públicos. La firma advierte que esas medidas reducen la exposición a la ruta de entrega que reprodujo, pero no corrigen el compilador vulnerable. Shadowserver, además de los más de 1.000 servidores afectados por esta falla, contabiliza más de 11.300 instancias vulnerables a otro fallo del compilador de expresiones regulares, CVE-2026-110264.
Fuentes: BleepingComputer, Rapid7, Censys, SecurityWeek
