GitLab CE/EE (self-managed) en resumen
El parche crítico de GitLab del 21 de octubre de 2026 (19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13) corrige CVE-2026-110264, un desbordamiento de enteros al compilar expresiones regulares manipuladas que permitiría ejecutar código sin autenticación en servidores propios. GitLab.com ya está corregido.
GitLab CE/EE (self-managed): estado
- Afectado
- GitLab CE/EE desde 7.0 antes de 18.11.13, 19.0 antes de 19.0.10, 19.1 antes de 19.1.9, 19.2 antes de 19.2.9, 19.3 antes de 19.3.6, 19.4 antes de 19.4.3 y 19.5 antes de 19.5.1 (CVE-2026-110264)
- Instalaciones autoadministradas de GitLab con su propio runtime de Ruby anterior a 3.3.13, 3.4.12 o 4.0.9
- Aplicaciones Ruby que compilan expresiones regulares a partir de entradas no confiables en versiones de Ruby anteriores a 3.3.13, 3.4.12 o 4.0.9
- Identificadores CVE
- Estado al
- Detectada por
- Johan Carlsson (joaxcar), a través del programa de recompensas por errores de GitLab en HackerOne
Qué cambió con GitLab CE/EE (self-managed)
El 21 de octubre de 2026, GitLab publicó un parche crítico para Community y Enterprise Edition. Su corrección principal, CVE-2026-110264, tiene una calificación CVSS 3.1 de 10.0: en ciertas condiciones, un usuario sin autenticación podía ejecutar código arbitrario en el servidor de GitLab por un desbordamiento de enteros al compilar una expresión regular manipulada. Todas las versiones desde la 7.0 están afectadas hasta las compilaciones corregidas 18.11.13, 19.0.10, 19.1.9, 19.2.9, 19.3.6, 19.4.3 y 19.5.1. El reporte vino del investigador joaxcar a través del programa de recompensas de GitLab en HackerOne; los créditos no mencionan IA.
La causa de fondo está en Onigmo, el motor de expresiones regulares de Ruby. El 23 de octubre, Ruby lanzó 4.0.9, 3.4.12 y 3.3.13 con correcciones para cuatro CVE asignados por GitLab, incluido este. GitLab.com ya está corregido, y los clientes de GitLab Dedicated en 19.3.5-internal0 o 19.4.2-internal0 o posterior no tienen que hacer nada. Las instalaciones autoadministradas que usan su propio runtime de Ruby, como compilaciones propias o imágenes de contenedor personalizadas, también deben actualizar Ruby. GitLab no ofrece una solución alternativa y publicó dos detecciones de amenazas para instancias autoadministradas.
La misma versión corrige otros once CVE, entre ellos dos de severidad alta que solo se corrigen en 19.3.6, 19.4.3 y 19.5.1: la autenticación con vinculación automática de OmniAuth a LDAP (CVE-2026-15723, CVSS 8.2) y el envenenamiento de caché en los endpoints de descubrimiento OAuth/OIDC (CVE-2026-112212, CVSS 7.5). Dos fallas de menor severidad tocan funciones de IA: un encabezado del AI Gateway que podía habilitar funciones de IA de pago sin suscripción (CVE-2026-112378) y un bloqueo de administrador de Duo para Amazon Q que se podía evadir (CVE-2026-103515). Al 5 de noviembre, CISA no había listado CVE-2026-110264 como explotada.
Cómo corregirlo: GitLab CE/EE (self-managed)
1. Actualizar
Actualiza GitLab autoadministrado a 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 u 18.11.13 lo antes posible; las líneas más antiguas necesitan una ruta de actualización a una versión corregida con soporte.
docs.gitlab.com (se abre en una pestaña nueva)2. Actualizar
Si GitLab corre con su propio Ruby (compilación propia o imágenes personalizadas), actualiza también Ruby a 3.3.13, 3.4.12, 4.0.9 o posterior.
ruby-lang.org (se abre en una pestaña nueva)3. Solución temporal
En otras apps Ruby que todavía no puedan actualizarse, evita compilar expresiones regulares a partir de entradas no confiables.
ruby-lang.org (se abre en una pestaña nueva)4. Vigilar
Usa las dos detecciones de amenazas que GitLab publicó para instancias autoadministradas: Onigmo native worker crash y Org mode render error burst.
docs.gitlab.com (se abre en una pestaña nueva)
Avisos de seguridad
Por qué GitLab CE/EE (self-managed) importa para los negocios
Un GitLab autoalojado suele guardar el código fuente de la empresa, los secretos de CI/CD y las llaves de despliegue, y es el sistema del que leen y al que suben cambios los agentes de programación con IA, así que un RCE sin inicio de sesión pone todo eso en riesgo. Ruby advierte que cualquier app que compile expresiones regulares a partir de cadenas controladas por un atacante, con Regexp.new, Regexp.union o interpolación, también está expuesta, y Regexp.timeout no la protege. Si tienes servicios en Ruby que arman patrones con texto de usuarios o generado por modelos, actualiza Ruby también.
Fuentes de esta noticia
- GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13 (se abre en una pestaña nueva)Oficial
GitLab · docs.gitlab.com
- CVE-2026-110264: Integer Overflow or Wraparound in GitLab (se abre en una pestaña nueva)Oficial
CVE Program · cve.org
- Regexp fixes for GitLab CVEs (se abre en una pestaña nueva)Oficial
Ruby · ruby-lang.org
Última verificación: . IA Compa resume anuncios públicos para lectores de negocios. No tenemos relación con las empresas mencionadas. Confirma siempre los detalles, precios y disponibilidad con la fuente oficial.
- #security
- #cve
- #gitlab
- #ruby
- #remote-code-execution
- #self-hosting
- #devops