GitLab corrige un RCE crítico sin autenticación en su compilador de expresiones regulares

GitLab publicó el 21 de octubre una actualización crítica que corrige CVE-2026-110264, un desbordamiento de entero en el compilador de expresiones regulares. La empresa indica que, bajo ciertas condiciones, un usuario no autenticado podría ejecutar código arbitrario en el servidor al procesar una expresión manipulada. GitLab asignó al fallo CVSS 3.1 10.0; la puntuación mide el peor impacto potencial del vector descrito, no confirma que haya explotación en una instancia concreta.

Qué instalaciones deben mirar

El fallo afecta a GitLab Community Edition y Enterprise Edition en versiones anteriores a las correcciones de sus ramas: 18.11.13, 19.0.10, 19.1.9, 19.2.9, 19.3.6, 19.4.3 y 19.5.1. El número de versión debe compararse dentro de su rama, no como si todos los despliegues siguieran una única línea. GitLab publicó los parches en una tanda crítica y recomienda actualizar cuanto antes las instalaciones autogestionadas afectadas.

GitLab.com ya opera con la versión corregida. La empresa también indicó que ciertos tenants de GitLab Dedicated con builds internos posteriores ya incluyen el arreglo. Ese estado gestionado no se transfiere a una instalación propia: quienes mantienen GitLab CE o EE en su infraestructura deben comprobar la versión en ejecución y el método de despliegue antes de dar el cambio por hecho.

-SecureCrew dice: Un panel de administración actualizado no parchea por telepatía el GitLab que vive en el CPD de otra persona: revisa el binario que sirve las peticiones.-

Una expresión regular, mucho más que un filtro

El componente afectado compila expresiones regulares, patrones usados para localizar o validar cadenas. El desbordamiento de entero ocurre cuando un cálculo supera el rango que la implementación puede representar; en este caso, GitLab describe una ruta que podría terminar en ejecución de código. El aviso no dice que cualquier regex active el fallo automáticamente ni publica una condición que permita tratar todas las instalaciones como explotadas. La explotación depende del procesamiento de una entrada preparada bajo las condiciones del problema.

GitLab califica el fallo como crítico y publica dos reglas de detección para sus clientes autogestionados: una busca un patrón de caída del worker nativo Onigmo y otra un aumento de errores en el renderizado Org mode. Son señales de búsqueda, no una garantía de detección completa. CERT-EU recomienda priorizar los activos expuestos a Internet y evaluar si pudieron quedar comprometidos; esa evaluación no debe reemplazarse por la mera ausencia de una alerta.

Parchear y revisar la exposición

La respuesta práctica empieza por identificar todas las instancias CE y EE, incluidas despliegues en contenedores, charts y paquetes de appliance, y mapear cada una a su rama. Después hay que aplicar la versión corregida correspondiente, verificar que el servicio quedó ejecutando el nuevo build y revisar los registros alrededor de errores del compilador o reinicios de workers. Una corrección instalada hoy no descarta actividad previa, por lo que los despliegues expuestos necesitan una comprobación proporcionada de señales de compromiso.

El parche release incluye otros arreglos de seguridad además de CVE-2026-110264. Eso hace útil aplicar la actualización publicada completa en vez de intentar modificar el componente de regex de forma aislada. GitLab no anuncia una mitigación temporal que sustituya el parche en este aviso; sus detecciones ayudan con la revisión posterior, pero no reducen por sí mismas la superficie vulnerable.

-SecureCrew dice: Una caída del worker puede ser ruido operativo o una pista; el contexto de la petición decide cuál de las dos.-

No hay que mezclar el impacto potencial con hechos que el aviso no confirma: GitLab no afirma en estas fuentes que el fallo se esté explotando activamente en ataques, ni que todo servidor afectado haya sido comprometido. La urgencia viene de la combinación de ejecución remota sin autenticación, criticidad máxima y parches disponibles, no de adjudicarle una campaña sin evidencia. Para los administradores, la comprobación clave es concreta: rama, build activo, versión corregida y revisión de actividad previa en servicios alcanzables desde Internet.

Diccionario de la Crew

RCE — Ejecución de código controlada por un atacante en el servidor afectado.
Regex — Patrón formal que una aplicación compila para buscar o validar cadenas.
Desbordamiento de entero — Resultado de un cálculo que excede el rango numérico que el programa puede representar.
CVSS — Sistema que puntúa la severidad técnica potencial de una vulnerabilidad; no mide explotación observada.
Onigmo — Motor de expresiones regulares citado por GitLab en una de sus detecciones.