CISA añade a KEV la RCE de GitLab que ya tiene parche
CISA confirmó la explotación conocida de CVE-2026-97229 en GitLab autogestionado. El parche existe desde el 12 de octubre; afecta ramas concretas y la reproducción de Rapid7 requiere que el atacante consiga introducir configuración de CI.
CISA incorporó el 29 de octubre CVE-2026-97229 al catálogo Known Exploited Vulnerabilities (KEV), confirmando que la vulnerabilidad de ejecución remota de código (RCE) de GitLab está siendo explotada. El parche ya existía desde el 12 de octubre; la novedad de esta semana no es una corrección recién publicada, sino la señal oficial de explotación conocida. CISA no identifica víctimas, volumen de ataques ni una campaña concreta en su entrada.
El fallo afecta a GitLab Community Edition y Enterprise Edition autogestionados en las ramas 19.2 anteriores a 19.2.8, 19.3 anteriores a 19.3.5 y 19.4 anteriores a 19.4.2. GitLab.com y GitLab Dedicated ya estaban corregidos, según el análisis de Rapid7. La distinción evita un titular engañoso: la alerta es urgente para instalaciones vulnerables que administra cada organización, pero no significa que todas las cuentas de GitLab estén expuestas.
-SecureCrew dice: «Está en KEV» responde a si se conoce explotación; no responde cuántos servidores cayeron ni quién los operaba.-
Un desbordamiento que sale del compilador de expresiones
CVE-2026-97229 es un desbordamiento de entero en el compilador de expresiones regulares usado por GitLab CI/CD. Una expresión maliciosa puede pasar la validación inicial y provocar una ruta distinta cuando el compilador la procesa con una ruta de proyecto que contiene caracteres UTF-8. Rapid7 reprodujo ejecución de código en una imagen oficial de GitLab 19.4.1 CE y no obtuvo el mismo resultado en 19.4.2 CE, que ya incorpora la corrección.
La etiqueta «sin autenticación» necesita contexto operativo. La reproducción técnica de Rapid7 requería primero que alguien pudiera introducir una configuración de pipeline maliciosa en el repositorio; en una instancia autogestionada que permite a usuarios nuevos crear proyectos públicos, ese requisito puede ser alcanzable sin una cuenta previa. En otras políticas de registro o permisos, el atacante necesita otra vía para escribir esa configuración. El catálogo de CISA resume la vulnerabilidad como ejecución remota no autenticada, mientras que Rapid7 documenta la condición que encontró en su prueba.
La lista KEV confirma que existe explotación conocida, pero no convierte la reproducción de Rapid7 en una campaña masiva ni prueba que todos los caminos de ataque requieran la misma configuración de permisos. El registro no publica alcance de víctimas y deja como desconocido el uso en campañas de ransomware. Rapid7 publicó su análisis antes de la inclusión en KEV: su evaluación de entonces decía que no tenía confirmación de explotación en el mundo real; la entrada posterior de CISA es una actualización de evidencia, no una contradicción que deba borrarse del historial.
-SecureCrew dice: una prueba reproducible explica cómo podría romperse el compilador; la fecha de KEV explica por qué toca mirar producción hoy.-
Qué cambia para quien administra GitLab
La actualización crítica del 12 de octubre fijó el fallo en 19.2.8, 19.3.5 y 19.4.2. La guía de GitLab recomienda actualizar las instalaciones autogestionadas afectadas; CISA asignó al registro una fecha límite del 1 de noviembre de 2026 para las obligaciones federales aplicables. Ese plazo no es un calendario universal para todas las empresas, aunque sí hace difícil justificar que una instancia expuesta siga esperando al siguiente ciclo rutinario.
La primera comprobación es identificar modalidad y versión exactas: la instancia propia no hereda los parches de GitLab.com. Si sigue en una de las ramas afectadas, hay que actualizar a la versión corregida de esa rama o a una versión mantenida que incluya el arreglo. Si la actualización se retrasa, las restricciones sobre quién puede crear proyectos y modificar configuraciones de CI reducen la ruta que Rapid7 reprodujo, pero no corrigen el compilador vulnerable ni sustituyen el parche.
El cambio llega al compilador de expresiones regulares, no a toda ejecución de pipelines de forma indistinta. Conviene revisar los permisos de creación y escritura en proyectos públicos y los registros del servicio alrededor de configuraciones de CI inusuales, sin asumir que una regla de detección cubra todas las variantes. CISA pide aplicar las mitigaciones del fabricante y realizar la evaluación forense indicada para los activos que entren en su ámbito.
-SecureCrew dice: subir la versión es el arreglo; el control de quién puede escribir en CI sirve de cinturón mientras el despliegue termina.-
La puntuación máxima suele hacer ruido; aquí la decisión técnica es más concreta: instancia autogestionada, rama vulnerable y posibilidad de introducir una configuración de CI. Si esas tres piezas coinciden, la inclusión en KEV justifica priorizar el parche y comprobar la exposición de esa instancia. No hay datos suficientes en la ficha de CISA para afirmar cuántos atacantes, víctimas o sectores están implicados.
Diccionario de la Crew
CVE — Identificador público de una vulnerabilidad concreta.
KEV — Catálogo de CISA para vulnerabilidades con explotación conocida.
Desbordamiento de entero — Error aritmético que hace que un valor supere el rango representable y se interprete de forma incorrecta.
CI/CD — Integración y entrega continuas; automatiza la compilación, prueba y despliegue de cambios.
UTF-8 — Codificación de texto que representa caracteres de longitud variable.
RCE — Ejecución remota de código en el sistema afectado.
