GitLab publicó el miércoles actualizaciones de seguridad para Community Edition (CE) y Enterprise Edition (EE). Las versiones son 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 y 18.11.13. Además de correcciones de errores, cierran 12 vulnerabilidades. Las ramas antiguas 19.2.9, 19.1.9, 19.0.10 y 18.11.13 incluyen únicamente el arreglo para la vulnerabilidad crítica.

CVE-2026-110264 tiene una puntuación CVSS de 10,0. En determinadas condiciones, un atacante sin autenticación puede provocar un desbordamiento de enteros al compilar expresiones regulares especialmente preparadas y ejecutar código arbitrario en el servidor. Todas las versiones de GitLab desde la 7.0 están afectadas. Hasta ahora no se conocen ataques contra esta falla.

Las otras 11 vulnerabilidades solo se corrigen en 19.3.6, 19.4.3 y 19.5.1. CVE-2026-15723 tiene una puntuación CVSS de 8,2 y permite que un usuario autenticado tome el control de cuentas LDAP ajenas sin intervención de sus propietarios cuando OmniAuth-SAML y LDAP-Auto-Linking están activados al mismo tiempo. CVE-2026-112212 alcanza 7,5. Los atacantes sin autenticación pueden modificar el documento de descubrimiento OAuth/OIDC en una caché compartida y desviar determinados flujos OAuth hacia un servidor bajo su control.

Otras cinco fallas tienen severidad media: CVE-2026-12664 con CVSS 6,8, CVE-2026-16255 con 5,9, CVE-2026-105777 con 4,3, CVE-2026-13319 con 4,3 y CVE-2026-112378 con 4,3. Las cuatro vulnerabilidades de severidad baja son CVE-2026-105711, CVE-2026-14288, CVE-2026-112326 y CVE-2026-103515.

GitLab recomienda actualizar de inmediato todas las instalaciones autogestionadas. Para corregir las 12 vulnerabilidades hay que actualizar a 19.3.6, 19.4.3 o 19.5.1. GitLab.com ya utiliza una versión parcheada. Las instancias de GitLab-Dedicated están corregidas desde 19.3.5-internal0 y 19.4.2-internal0. GitLab ha publicado además dos reglas de detección para instalaciones autogestionadas, destinadas a identificar intentos de explotar la vulnerabilidad crítica.