26.10.24 - [Aviso] Vulnerabilidad crítica en GitLab CE/EE: actualice ya su GitLab en servidor propio

Se ha encontrado una vulnerabilidad de gravedad máxima en GitLab, muy usado para gestionar código y CI/CD. Tras PHP y Node.js, este mes se acumulan los problemas graves en el software del que dependen los equipos de desarrollo.

Qué está pasando

• CVE-2026-97229 (CVSS 10,0): un fallo en el tratamiento de expresiones regulares de CI/CD puede permitir ejecutar código en el servidor. El parche salió el 12 de octubre.
• Ya hay código de ataque público. Según su autor, el atacante necesita permiso para subir una rama a un proyecto público de ese GitLab.
• Si usa gitlab.com, no tiene que hacer nada. Solo afecta a GitLab instalado en servidores propios.

Qué hacer ya

• Actualizar GitLab a 19.2.8, 19.3.4, 19.4.2 o posterior.
• Según algunas informaciones, el 21 de octubre se corrigió otro fallo crítico (CVE-2026-110264). Consulte siempre los avisos oficiales de GitLab para conocer las últimas versiones corregidas.
• Revisar si cualquiera puede registrarse y quién puede subir cambios a proyectos públicos.
• Si tiene su propio AI Gateway, aplique también el arreglo del 2 de octubre para otro fallo (CVE-2026-90970, CVSS 9,9): versiones 19.2.4, 19.3.2 y 19.4.1.

Sobre MetAI

MetAI no usa GitLab, así que no está afectada.

Cómo puede ayudarte MetAI

¿No sabes qué versión de GitLab usas o no puedes parar el trabajo para actualizar? En MetAI te ayudamos con:

• Diagnóstico urgente: comprobamos las versiones de GitLab y del resto de tu software, y si están afectadas.
• Actualización y migración: planificamos actualizaciones sin detener tu trabajo y te ayudamos a hacerlas.
• Protección de cara al futuro: revisión de permisos y vigilancia continua de vulnerabilidades, para estar listo ante la próxima.

Recogemos los últimos avisos en nuestra página de seguridad. Escríbenos para una consulta gratuita de 30 minutos.

Fuentes: Rapid7 · CERT-EU · BleepingComputer