GitLab parchea una falla crítica que no pide credenciales
La falla CVE-2026-97229 tiene calificación 10.0 sobre 10 y afecta a las instalaciones propias de las versiones 19.2 a 19.4; ya hay parche.
GitLab publicó el 12 de octubre de 2026 versiones de parche que corrigen CVE-2026-97229, una falla que permitiría a alguien sin cuenta ejecutar código en el servidor con una expresión regular alterada a propósito en un archivo de CI/CD, el sistema que automatiza pruebas y despliegues, según el aviso oficial de GitLab.
La empresa la clasifica como crítica, con 10.0 en la escala CVSS, el máximo posible. El fallo es un desbordamiento de enteros (CWE-190) dentro del compilador que interpreta esas expresiones, causado por una validación insuficiente. Afecta a GitLab Community Edition y Enterprise Edition de instalación propia, y la corrección llega en tres versiones.
| Rama | Afectadas | Corregida |
|---|---|---|
| 19.2 | Anteriores a 19.2.8 | 19.2.8 |
| 19.3 | Anteriores a 19.3.4 | 19.3.4 |
| 19.4 | Anteriores a 19.4.2 | 19.4.2 |
GitLab.com ya corre la versión corregida, y los clientes de GitLab Dedicated no tienen que hacer nada. Para quienes administran su propio GitLab, incluidas empresas y desarrolladores en México, la empresa pide actualizar de inmediato, según BleepingComputer. Esos servidores suelen concentrar código fuente y credenciales.
La falla la reportó un investigador con el alias "joaxcar" a través del programa de recompensas de HackerOne. Ni GitLab ni BleepingComputer informan de explotación activa, y el aviso no menciona medidas de mitigación aparte de actualizar. El mismo lanzamiento corrige 24 vulnerabilidades en total, cinco más de severidad alta.
GitLab indica que los detalles técnicos de la falla se harán públicos 90 días después del lanzamiento, hacia el 10 de enero de 2027.
