GitLab corrige una vulnerabilidad de ejecución de código de máxima gravedad

GitLab ha publicado parches de seguridad para una vulnerabilidad de máxima gravedad en su Regular Expression Compiler, que podría permitir a atacantes remotos ejecutar código arbitrario en servidores vulnerables.

Registrada como CVE-2026-110264, la vulnerabilidad se debe a un desbordamiento de enteros al compilar una expresión regular especialmente diseñada. GitLab indicó que, en determinadas condiciones, un usuario sin autenticar podría ejecutar código en el servidor. La notificó un investigador que utiliza el alias «joaxcar» a través del programa de recompensas por errores de GitLab en HackerOne.

GitLab corrigió el problema en las versiones 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 y 18.11.13 de Community Edition (CE) y Enterprise Edition (EE), y pidió actualizar las instalaciones afectadas. GitLab.com ya ejecuta una versión parcheada. Según la empresa, los clientes de GitLab Dedicated con 19.3.5-internal0 y 19.4.2-internal0 o versiones posteriores también cuentan con las correcciones.

Shadowserver sigue la pista de más de 2.700 instancias de GitLab CE expuestas en internet. No indica cuántas son honeypots ni cuántas ya están protegidas.

El aviso llega diez días después de que GitLab alertara a sus clientes sobre otra vulnerabilidad crítica del Regular Expression Compiler, CVE-2026-97229. El mes pasado, GitLab corrigió CVE-2026-85706, una vulnerabilidad de máxima gravedad que podía permitir a atacantes sin autenticar leer datos sensibles. Un día después, CISA añadió esa vulnerabilidad a su lista de fallos explotados activamente y dio a las agencias federales tres días para proteger sus sistemas.