GitLab corrige una falla de puntuación 10 que afecta a todas sus versiones desde 2014

La CVE-2026-110264 permite ejecutar código sin iniciar sesión en servidores autogestionados. Quien actualizó el 12 de octubre vuelve a estar expuesto y debe instalar las nuevas versiones.

GitLab publicó el 21 de octubre correcciones para una falla que permite a un atacante ejecutar código en un servidor autogestionado sin iniciar sesión, y que afecta a todas las versiones desde la 7.0, lanzada en 2014, informó The Hacker News.

La vulnerabilidad, CVE-2026-110264, tiene la puntuación máxima de 10.0 en la escala CVSS. Según GitLab, bajo ciertas condiciones un usuario no autenticado podría ejecutar código por un desbordamiento de enteros al compilar una expresión regular manipulada. La empresa no ha dicho cuáles son esas condiciones ni ofrece una medida temporal: el parche es la única protección segura.

El detalle importa para quien ya actualizó: el parche del 12 de octubre solo cubría las versiones 19.2 y posteriores, y las nuevas versiones corregidas quedan un nivel por encima, por lo que una instancia actualizada entonces vuelve a estar en riesgo. GitLab corrigió siete versiones a la vez, incluidas cuatro más antiguas de lo que suele cubrir: 18.11.13, 19.0.10, 19.1.9 y 19.2.9.

La falla llega tan atrás porque está en Onigmo, el motor de expresiones regulares de Ruby que GitLab incluye en sus paquetes. Es la cuarta falla de ejecución de código en ese componente que reporta el mismo investigador, conocido como joaxcar, en un mes.

GitLab.com ya corre la versión corregida y GitLab Dedicated también está protegido. La empresa no reporta ataques y, al 22 de octubre, la falla no figuraba en el catálogo de vulnerabilidades explotadas de CISA. GitLab publicó dos reglas de detección para que los administradores busquen intentos de explotación en sus registros.

Fuente: The Hacker News: «Critical GitLab Flaw (CVSS 10.0) Could Allow Unauthenticated RCE Across 12 Years of Releases», 22 de octubre de 2026.