Falla de GitLab CVE-2026-110264 permite ejecutar código en un servidor sin iniciar sesión y afecta a cada versión administrada por cuenta propia desde 2014. GitLab publicó las correcciones el 21 de octubre y la calificación lo dice todo: 10.0, la nota máxima de la escala CVSS (sistema común de puntuación de vulnerabilidades). Quien tenga una instalación propia debe actualizar hoy, sin esperar al ciclo normal de mantenimiento.
La falla de GitLab CVE-2026-110264 nace de un desbordamiento de entero al compilar una expresión regular creada con intención maliciosa. Una expresión regular es una fórmula de búsqueda de patrones en texto, y el motor que la procesa dentro de GitLab es Onigmo, el componente de Ruby que la plataforma incluye en sus propios paquetes. Ese detalle explica el alcance largo: el motor viaja dentro de cada entrega desde la versión 7.0, salida en 2014, y por eso el problema alcanza doce años de instalaciones.
Parchear el 12 de octubre no alcanzó esta vez
Muchos administradores llegan a esta alerta con la tarea hecha a medias sin saberlo. El 12 de octubre GitLab corrigió otra falla parecida, CVE-2026-97229, también con nota 10.0 y también en el compilador de expresiones regulares, pero aquella corrección cubrió solo las versiones 19.2 en adelante. Las versiones nuevas de esta semana quedan un escalón por encima de aquellas, así que una instalación actualizada hace nueve días vuelve a quedar dentro del grupo expuesto.
Las versiones que cierran el hueco son 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9 y 19.0.10, con 18.11.13 como destino para todo lo que corre entre 7.0 y 18.11. La política habitual de la empresa cubre la versión vigente y las dos mensuales anteriores, que hoy serían 19.5, 19.4 y 19.3. Para este caso, GitLab llevó la corrección a cuatro ramas más viejas, un paso que reserva para problemas graves y que marca la seriedad del aviso.
Fuera del apuro quedan las instalaciones en la nube de la propia empresa. GitLab.com ya corre la versión corregida, y los clientes de GitLab Dedicated con las entregas internas 19.3.5-internal0 o 19.4.2-internal0 en adelante también tienen la corrección aplicada. El trabajo pendiente vive en los servidores que cada empresa, universidad o equipo de desarrollo administra por su cuenta, justo los que guardan código fuente, claves de despliegue y secretos de los sistemas automáticos de construcción y publicación.
Sin condiciones claras y sin atajo disponible
GitLab no explicó qué condiciones concretas necesita un atacante para llegar al compilador vulnerable. Esa ausencia pesa: ningún administrador puede descartarse por su configuración, y el aviso oficial no ofrece una medida temporal que reduzca el riesgo. La corrección es la única protección segura, palabra que en este caso hay que leer al pie de la letra.
La empresa publicó dos reglas de detección para revisar los registros de las instalaciones propias, con los nombres «Onigmo native worker crash» y «Org mode render error burst». Ambas forman parte de su marco abierto TLDR, que escribe cada detección en formato Sigma contra los registros de la aplicación. Ese segundo nombre apunta a la presentación de archivos en formato Org, un formato de texto plano para notas y tareas, como zona donde conviene mirar primero si aparecen errores repetidos.
El investigador detrás del hallazgo usa el alias joaxcar y reportó el caso por el programa de recompensas de HackerOne. Es su cuarta falla de ejecución de código en el motor de expresiones regulares de GitLab en un mes: el 23 de septiembre la empresa corrigió otras dos, CVE-2026-93577 y CVE-2026-89078, ambas con nota 9.9 y con la exigencia de una cuenta iniciada. Las tres anteriores se detenían en la versión 19.2; esta cruza esa frontera y baja hasta 2014.
La misma entrega corrige cuentas y accesos
Junto a la principal, el paquete del 21 de octubre trae más correcciones. Una de ellas, CVE-2026-15723, con nota 8.2, podía permitir que una persona con sesión iniciada tomara otra cuenta cuando un administrador activó la vinculación automática con SAML y LDAP, dos sistemas de identidad usados en empresas. Otra, CVE-2026-112212, con nota 7.5, tocaba el envenenamiento de caché en los puntos de acceso de OAuth y OpenID Connect, con la posibilidad de desviar ciertos inicios de sesión hacia un servidor controlado por un atacante en instalaciones con caché compartida.
Actualizar tiene un costo operativo que conviene planear antes de pulsar el botón. Las versiones 19.4.3 y 19.3.6 incluyen cambios en la base de datos que corren durante la actualización, y en un servidor de un solo nodo eso significa una pausa del servicio mientras terminan. Las instalaciones con varios nodos pueden aplicar el parche con el procedimiento de actualización sin pausa que GitLab documenta.
Hasta el 22 de octubre, la empresa no reportó señales de uso en ataques reales y la falla de GitLab CVE-2026-110264 no aparece en el catálogo de vulnerabilidades explotadas que mantiene CISA, la agencia de ciberseguridad de Estados Unidos. Ese dato baja el ruido, no la urgencia: una nota de 10.0 sin necesidad de credenciales, con doce años de versiones alcanzadas y sin medida temporal, deja la ventana abierta justo en los servidores donde vive el código de cada organización.
Fuente: The Hacker News
Foto: The Hacker News
La entrada Falla de GitLab CVE-2026-110264: código sin iniciar sesión se publicó primero en Tecnología Geek.