GitLab corrige una falla RCE con CVSS 10,0
GitLab ha publicado parches para las ramas CE y EE 19.5, 19.4, 19.3, 19.2, 19.1, 19.0 y 18.11.
HEISE DEVELOPER — Las actualizaciones corrigen 12 vulnerabilidades, incluida CVE-2026-110264, una falla de ejecución remota de código sin autenticación con CVSS 10,0 que afecta desde la versión 7.0. GitLab pide actualizar las instalaciones autogestionadas. No se conocen ataques.
GitLab publicó el miércoles actualizaciones de seguridad para Community Edition (CE) y Enterprise Edition (EE). Las versiones son 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 y 18.11.13. Además de correcciones de errores, cierran 12 vulnerabilidades. Las ramas antiguas 19.2.9, 19.1.9, 19.0.10 y 18.11.13 incluyen únicamente el arreglo para la vulnerabilidad crítica.
CVE-2026-110264 tiene una puntuación CVSS de 10,0. En determinadas condiciones, un atacante sin autenticación puede provocar un desbordamiento de enteros al compilar expresiones regulares especialmente preparadas y ejecutar código arbitrario en el servidor. Todas las versiones de GitLab desde la 7.0 están afectadas. Hasta ahora no se conocen ataques contra esta falla.
Las otras 11 vulnerabilidades solo se corrigen en 19.3.6, 19.4.3 y 19.5.1. CVE-2026-15723 tiene una puntuación CVSS de 8,2 y permite que un usuario autenticado tome el control de cuentas LDAP ajenas sin intervención de sus propietarios cuando OmniAuth-SAML y LDAP-Auto-Linking están activados al mismo tiempo. CVE-2026-112212 alcanza 7,5. Los atacantes sin autenticación pueden modificar el documento de descubrimiento OAuth/OIDC en una caché compartida y desviar determinados flujos OAuth hacia un servidor bajo su control.
Otras cinco fallas tienen severidad media: CVE-2026-12664 con CVSS 6,8, CVE-2026-16255 con 5,9, CVE-2026-105777 con 4,3, CVE-2026-13319 con 4,3 y CVE-2026-112378 con 4,3. Las cuatro vulnerabilidades de severidad baja son CVE-2026-105711, CVE-2026-14288, CVE-2026-112326 y CVE-2026-103515.
GitLab recomienda actualizar de inmediato todas las instalaciones autogestionadas. Para corregir las 12 vulnerabilidades hay que actualizar a 19.3.6, 19.4.3 o 19.5.1. GitLab.com ya utiliza una versión parcheada. Las instancias de GitLab-Dedicated están corregidas desde 19.3.5-internal0 y 19.4.2-internal0. GitLab ha publicado además dos reglas de detección para instalaciones autogestionadas, destinadas a identificar intentos de explotar la vulnerabilidad crítica.
Tribuna de lectores
Aún no hay aportaciones — abre el debate.
Inicia la conversación
Sin cuenta ni contraseña — introduce tu correo y te enviamos un enlace de acceso de un solo uso. ¿Primera vez? Todo se configura automáticamente.
Tu valoración se aplicará automáticamente al iniciar sesión.
Revisa tu bandeja de entrada
Hemos enviado un enlace de acceso a …. Ábrelo en este dispositivo — esta pestaña te conectará automáticamente.
¿No llega nada? Mira en la carpeta de spam — y marca el correo como «No es spam» para que la próxima vez llegue directo.