GitLab publicó el lunes actualizaciones de seguridad no planificadas para su plataforma de alojamiento de código, cerrando varias vulnerabilidades, algunas críticas. La firma de seguridad watchTowr ha confirmado los primeros intentos de ataque contra la falla más grave.

La vulnerabilidad CVE-2026-19478 tiene una puntuación CVSS de 9,4 y se considera crítica. Según Jake Knott, investigador principal de seguridad de watchTowr, permite a atacantes sin autenticación previa eliminar proyectos de GitLab accesibles públicamente, cambiar su estado, borrar repositorios completos, falsificar entradas de merge o expulsar a los maintainers. Basta una única petición HTTP, sin credenciales, sin interacción del usuario y sin una configuración inusual.

Knott señaló el miércoles que watchTowr ya había detectado intentos de ataque reales a través de su red global de honeypots. Las organizaciones con instalaciones sin parchear deberían buscar la cadena "@gl_introduced" en sus registros web y vigilar signos de reconocimiento o explotación.

En LinkedIn, watchTowr indicó que su herramienta de IA interna reconstruyó la vulnerabilidad solo a partir de la descripción del error y los cambios en el código. En el momento de la publicación no existía ningún exploit público de prueba de concepto. En X, la empresa recomendó actualizar de inmediato las instalaciones autogestionadas o, al menos, restringir el acceso a "/api/graphql".

La misma tanda de actualizaciones corrigió una segunda vulnerabilidad en la API GraphQL, CVE-2026-19650, de riesgo alto con CVSS 7,1. Su explotación requiere la colaboración de la víctima, por ejemplo hacer clic en un enlace manipulado.