La Agencia de Seguridad de Infraestructura y Ciberseguridad de Estados Unidos (CISA) ha confirmado que los ciberdelincuentes están explotando activamente una vulnerabilidad crítica de GitLab que podría permitir la ejecución remota de código en servidores vulnerables. Identificada como CVE-2026-97229, esta falla de seguridad representa un riesgo considerable para las organizaciones que utilizan esta popular plataforma de desarrollo y gestión de repositorios.
El problema resulta especialmente preocupante porque, bajo determinadas condiciones, un atacante remoto podría aprovechar la vulnerabilidad sin necesidad de autenticarse para ejecutar código arbitrario en el servidor afectado. Ante esta situación, GitLab ha publicado actualizaciones de seguridad y ha recomendado a todos los administradores instalar los parches correspondientes lo antes posible.
La confirmación de CISA sobre los ataques en curso aumenta la urgencia de aplicar las medidas correctivas, especialmente en empresas que mantienen instancias de GitLab accesibles desde Internet.
CVE-2026-97229: una vulnerabilidad crítica en el compilador de expresiones regulares de GitLabLa vulnerabilidad CVE-2026-97229 fue descubierta por un investigador de seguridad identificado como joaxcar, quien informó del problema a través de la plataforma HackerOne.
El fallo se encuentra en el compilador de expresiones regulares utilizado por el sistema de integración y entrega continua (CI/CD) de GitLab. Este componente se encarga de analizar, compilar y evaluar las expresiones regulares presentes en los archivos de configuración de los pipelines, que permiten automatizar diferentes etapas del desarrollo y despliegue de aplicaciones.
Desde el punto de vista técnico, el problema está relacionado con un desbordamiento de enteros (Integer Overflow), una debilidad de seguridad clasificada bajo el identificador CWE-190.
Este tipo de vulnerabilidad aparece cuando una operación matemática genera un resultado que supera el rango de valores que puede representar una variable numérica. Cuando el sistema no valida correctamente estas operaciones, el comportamiento del software puede volverse impredecible y abrir oportunidades para ejecutar acciones no autorizadas.
En el caso de GitLab, una expresión regular especialmente diseñada podría aprovechar las deficiencias de validación del compilador CI/CD para desencadenar condiciones que permitan ejecutar código arbitrario en el servidor.
Uno de los aspectos más delicados es que GitLab reconoció que, bajo determinadas circunstancias, un usuario no autenticado podría explotar el problema. Esto significa que un atacante no necesariamente tendría que disponer de credenciales válidas para intentar comprometer una instancia vulnerable.
CISA confirma que los ciberdelincuentes ya están explotando el falloLa situación pasó de representar una vulnerabilidad potencial a convertirse en una amenaza activa después de que CISA confirmara intentos de explotación.
El 29 de octubre de 2026, la agencia estadounidense incorporó CVE-2026-97229 a su catálogo de Vulnerabilidades Explotadas Conocidas, conocido como KEV (Known Exploited Vulnerabilities).
Esta clasificación es especialmente importante porque identifica vulnerabilidades para las que existen evidencias de explotación real por parte de actores maliciosos.
La inclusión en el catálogo KEV también implica que las organizaciones deben prestar especial atención a la aplicación de los parches y a la revisión de posibles indicadores de compromiso.
En el caso de las agencias federales estadounidenses, CISA estableció un plazo obligatorio para proteger sus servidores, conforme a la Directiva Operativa Vinculante BOD 26-04.
Aunque esta obligación está dirigida específicamente a las entidades federales, la agencia recomendó que las organizaciones del sector privado también prioricen la actualización de sus sistemas.
La advertencia es relevante para cualquier empresa que utilice GitLab como parte de su infraestructura tecnológica, especialmente cuando sus servidores están expuestos públicamente.
Versiones de GitLab afectadas y actualizaciones de seguridad disponiblesGitLab respondió al problema publicando actualizaciones de seguridad para sus ediciones Community Edition (CE) y Enterprise Edition (EE).
Las versiones que incorporan la corrección de CVE-2026-97229 son:
- GitLab 19.4.2
- GitLab 19.3.5
- GitLab 19.2.8
La compañía recomienda a los administradores actualizar sus instalaciones inmediatamente para reducir el riesgo de explotación.
Es importante destacar que mantener una versión vulnerable puede dejar expuestos los repositorios, los procesos de automatización y otros componentes críticos de la infraestructura de desarrollo.
Las organizaciones que utilizan GitLab autogestionado deben prestar especial atención a sus instalaciones, ya que son responsables de mantener actualizados sus propios servidores y de aplicar las medidas de protección necesarias.
Además, GitLab ha desarrollado mecanismos de detección de amenazas para ayudar a los clientes con instancias autogestionadas a identificar posibles actividades maliciosas. Estas capacidades se publicaron después de detectar intentos de explotación relacionados con la vulnerabilidad.
Por tanto, instalar las actualizaciones no debería ser la única medida de seguridad. También resulta recomendable revisar los registros del servidor, analizar las configuraciones CI/CD y comprobar si existen comportamientos anómalos.
Miles de servidores GitLab podrían estar expuestos a InternetLa dimensión del problema aumenta al considerar la cantidad de instalaciones de GitLab accesibles públicamente.
Según los datos recopilados por la organización de monitoreo de amenazas Shadowserver, existen cerca de 2.800 instancias de GitLab Community Edition expuestas directamente a Internet.
Aunque esta cifra no determina cuántos servidores continúan utilizando versiones vulnerables, demuestra que existe una superficie de ataque considerable que podría ser explorada por ciberdelincuentes.
Los servidores expuestos representan objetivos atractivos porque permiten a los atacantes identificar versiones de software, buscar configuraciones inseguras y localizar instalaciones que todavía no han recibido las actualizaciones correspondientes.
En este escenario, los sistemas de gestión de código fuente y automatización CI/CD adquieren una importancia especial. Si un atacante consigue comprometer una instancia de GitLab, podría obtener una posición privilegiada dentro de la infraestructura tecnológica de una organización.
Dependiendo de los permisos y configuraciones existentes, una intrusión podría facilitar el acceso a información confidencial, credenciales, código propietario y otros recursos utilizados durante los procesos de desarrollo.
Por este motivo, las empresas deben considerar sus plataformas DevSecOps como componentes críticos de su estrategia de ciberseguridad.
GitLab enfrenta una serie de vulnerabilidades críticas durante 2026CVE-2026-97229 no es el único problema de seguridad importante que GitLab ha tenido que abordar durante este año.
La plataforma ha corregido diferentes vulnerabilidades que podrían comprometer la seguridad de las instalaciones y facilitar ataques contra organizaciones que dependen de sus servicios.
Entre los incidentes destacados se encuentran:
CVE-2026-0723: bypass de autenticación de dos factoresEn enero, GitLab corrigió una vulnerabilidad de alta gravedad relacionada con la autenticación multifactor. El problema podía permitir que atacantes que conocieran el identificador de cuenta de una víctima eludieran determinados mecanismos de autenticación de dos factores.
CVE-2026-110264: vulnerabilidad en el compilador de expresiones regularesA principios de octubre también se corrigió otro fallo de máxima gravedad relacionado con el compilador de expresiones regulares, que podía permitir la ejecución remota de código en instancias vulnerables.
CVE-2026-85706: vulnerabilidad de recorrido de rutasGitLab solucionó otra falla crítica en la API de commits del repositorio. Esta vulnerabilidad podía ser aprovechada para acceder a información sensible almacenada en servidores afectados, incluidas credenciales y otros secretos.
Posteriormente, CISA incorporó CVE-2026-85706 a su catálogo KEV después de conocerse que los atacantes estaban buscando servidores GitLab sin actualizar.
Estos antecedentes reflejan que las plataformas de desarrollo se han convertido en objetivos importantes para los grupos de amenazas, especialmente por la cantidad de información y recursos tecnológicos que concentran.
¿Qué riesgos representa esta vulnerabilidad para las empresas?El compromiso de una instancia de GitLab puede tener consecuencias que van mucho más allá de la interrupción de un servicio.
Las plataformas DevSecOps suelen almacenar información estratégica para las organizaciones, como repositorios privados, archivos de configuración, credenciales de acceso, tokens de autenticación y detalles de la infraestructura.
Si un atacante consigue ejecutar código arbitrario en el servidor, podría intentar realizar diferentes actividades maliciosas, dependiendo de los permisos disponibles y de la configuración del entorno.
Entre los principales riesgos se encuentran:
- Acceso no autorizado a información: exposición de código fuente, archivos de configuración y datos confidenciales.
- Robo de credenciales: posible obtención de tokens, claves y secretos utilizados en los procesos CI/CD.
- Compromiso de proyectos: manipulación de repositorios y componentes utilizados durante el desarrollo de aplicaciones.
- Movimiento lateral: utilización del servidor comprometido como punto de entrada para intentar acceder a otros sistemas de la organización.
- Interrupción de operaciones: alteración de los procesos de integración, compilación y despliegue de software.
- Ataques a la cadena de suministro: posibilidad de afectar los productos y servicios desarrollados por una organización y distribuidos posteriormente a sus clientes.
El impacto definitivo dependerá de los privilegios del servicio, las medidas de aislamiento implementadas y los controles de seguridad existentes.
Recomendaciones para proteger las instalaciones de GitLabAnte la confirmación de explotación activa, las organizaciones deben adoptar medidas inmediatas para reducir su exposición.
Las principales recomendaciones son:
1. Actualizar GitLab inmediatamente: instalar las versiones corregidas 19.4.2, 19.3.5 o 19.2.8, según la rama utilizada, o una versión posterior que incluya la corrección correspondiente.
2. Identificar instalaciones vulnerables: realizar un inventario de todos los servidores GitLab, incluidos aquellos utilizados por equipos de desarrollo y proveedores externos.
3. Revisar los registros de actividad: buscar comportamientos inusuales, solicitudes sospechosas y posibles intentos de explotación relacionados con el compilador CI/CD.
4. Proteger las instancias expuestas: limitar el acceso a las interfaces administrativas y evitar que los servicios internos estén disponibles públicamente sin necesidad.
5. Auditar las configuraciones CI/CD: revisar los archivos de configuración de pipelines y detectar expresiones regulares o modificaciones que puedan resultar sospechosas.
6. Rotar credenciales potencialmente comprometidas: si existen indicios de intrusión, renovar tokens, claves y secretos que pudieran haber quedado expuestos.
7. Investigar posibles compromisos: si se detecta actividad maliciosa, realizar un análisis de seguridad antes de considerar que la instalación vuelve a ser confiable.
También es recomendable mantener políticas de actualización periódica, implementar autenticación multifactor y establecer mecanismos de monitoreo continuo para detectar amenazas contra la infraestructura de desarrollo.
GitLab se convierte en un objetivo prioritario para los ciberdelincuentesGitLab es una de las plataformas DevSecOps más utilizadas a nivel empresarial. Según los datos proporcionados en el informe original, su tecnología es utilizada por más del 50 % de las empresas Fortune 100 y cuenta con más de 70 millones de usuarios registrados en todo el mundo.
Esta amplia adopción convierte cualquier vulnerabilidad crítica en un asunto de interés para los equipos de seguridad informática.
La explotación activa de CVE-2026-97229 demuestra que los ciberdelincuentes continúan buscando fallos en herramientas esenciales para el desarrollo de software. Además, la posibilidad de ejecutar código remoto sin autenticación bajo determinadas condiciones incrementa considerablemente la gravedad del incidente.
La inclusión de esta vulnerabilidad en el catálogo KEV de CISA constituye una señal clara de que las organizaciones no deberían posponer las actualizaciones.
La prioridad ahora es identificar las instalaciones vulnerables, aplicar los parches de seguridad y verificar que no existan indicios de compromiso. En un entorno donde las plataformas de desarrollo concentran código propietario, credenciales y procesos empresariales críticos, mantener GitLab actualizado es una medida indispensable para reducir los riesgos de ciberseguridad.
Fuente: Los enlaces son solo para miembros. Registrate o iniciá sesión
