NoticiasNews

GitLab corrige una falla CVSS 10.0 que permitía ejecutar código sin autenticación mediante una expresión regular en CI/CDGitLab patches a CVSS 10.0 flaw that allowed unauthenticated code execution via a regular expression in CI/CD

2026-10-13

GitLab publicó este 13 de octubre de 2026 una actualización de seguridad que corrige CVE-2026-97229, una vulnerabilidad con puntuación CVSS de 10.0 en GitLab CE y EE. Según The Hacker News, se trata de un desbordamiento de enteros activado por una expresión regular manipulada dentro de la configuración de CI/CD, que podría permitir a un usuario sin autenticar ejecutar código arbitrario en el servidor.

Versiones afectadas y corregidas

  • 19.2 anteriores a 19.2.8
  • 19.3 anteriores a 19.3.5
  • 19.4 anteriores a 19.4.2

El mismo lote corrige otras fallas: CVE-2026-92883 (CVSS 8.7, XSS almacenado), CVE-2026-16301 (CVSS 8.5, autorización en pipelines de ramas protegidas) y CVE-2026-14814 (CVSS 8.2, envenenamiento de caché). La fuente no indica explotación activa de este CVE concreto, aunque menciona sondeos en internet contra otra falla CVSS 10.0 de GitLab (CVE-2026-85706).

Qué hacer

No se menciona una mitigación alternativa: la recomendación es actualizar cuanto antes, priorizar instancias expuestas a internet y revisar quién puede alterar archivos de configuración de CI/CD.

Fuente: The Hacker News, 13 de octubre de 2026.

En TEKFENIX desarrollamos software a medida y productos como Nexturno, Servigo365 y CumplimientoControl con una práctica constante de parcheo, control de accesos y trazabilidad en los pipelines, justo lo que este tipo de incidente pone a prueba. Si su empresa depende de GitLab para entregar software, nuestro equipo puede ayudarle a auditar su cadena de despliegue.

On October 13, 2026 GitLab released a security update fixing CVE-2026-97229, a CVSS 10.0 vulnerability in GitLab CE and EE. According to The Hacker News, it is an integer overflow triggered by a crafted regular expression in a CI/CD configuration that could let an unauthenticated user execute arbitrary code on the server.

Affected and fixed versions

  • 19.2 before 19.2.8
  • 19.3 before 19.3.5
  • 19.4 before 19.4.2

The same release fixes CVE-2026-92883 (CVSS 8.7, stored XSS), CVE-2026-16301 (CVSS 8.5, authorization flaw on protected-branch pipelines) and CVE-2026-14814 (CVSS 8.2, cache poisoning). The source does not report exploitation of this specific CVE, though it mentions in-the-wild probing of another GitLab CVSS 10.0 flaw (CVE-2026-85706).

What to do

No alternative mitigation is mentioned: update as soon as possible, prioritize internet-exposed instances and review who can change CI/CD configuration files.

Source: The Hacker News, October 13, 2026.

At TEKFENIX we build custom software and products such as Nexturno, Servigo365 and CumplimientoControl with constant patching, access control and pipeline traceability, exactly what incidents like this put to the test. If your company relies on GitLab to ship software, our team can help audit your delivery chain.

← Volver al blog← Back to blog