GitLab ha emitido un lanzamiento de parche crítico que afecta a múltiples versiones de su software Community Edition (CE) y Enterprise Edition (EE). La actualización aborda una vulnerabilidad de alta gravedad (CVE-2026-110264) donde un desbordamiento de enteros en el compilador de expresiones regulares podría permitir que un usuario no autenticado ejecute código arbitrario en el servidor de GitLab. Este fallo fue descubierto y reportado a través del programa de recompensas por errores HackerOne. Para mitigar este riesgo, GitLab recomienda encarecidamente que todas las instalaciones autogestionadas se actualicen a las versiones parcheadas de inmediato, que incluyen 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 y 18.11.13.
Esta imagen representa la plataforma GitLab, que es el tema de los parches de seguridad críticos y las divulgaciones de vulnerabilidades.
Más allá del fallo crítico de ejecución remota de código, el lanzamiento del parche aborda varios otros problemas de seguridad significativos. Estos incluyen un problema de autenticación incorrecta de alta gravedad en el autoenlace de OmniAuth-to-LDAP (CVE-2026-15723), que podría permitir que un usuario autenticado tome el control de una cuenta respaldada por LDAP. Otras vulnerabilidades abordadas varían desde gravedad media a baja, como el envenenamiento de caché en los puntos finales de descubrimiento de OAuth/OIDC, el control de acceso incorrecto en los campos de GraphQL y la exposición de credenciales internas en los encabezados de respuesta. Mientras que los inquilinos de GitLab.com y GitLab Dedicated que ejecutan versiones internas específicas ya están parcheados, los usuarios autogestionados deben aplicar manualmente estas actualizaciones para mantener la higiene de seguridad.
Para ayudar a los administradores a identificar y mitigar estos riesgos, GitLab ha lanzado dos detecciones de amenazas específicas para instancias autogestionadas: un 'Onigmo native worker crash' y un 'Org mode render error burst'. Estas detecciones están diseñadas para ayudar a los usuarios a identificar posibles intentos de explotación en sus registros. GitLab señala que, si bien están comprometidos con altos estándares de seguridad, el descubrimiento de estas vulnerabilidades —algunas de las cuales fueron identificadas internamente o a través de recompensas por errores— destaca la necesidad continua de parches proactivos. La empresa mantiene una política de hacer públicos los detalles específicos de estas vulnerabilidades en su rastreador de problemas 90 días después del lanzamiento del parche para proporcionar mayor transparencia y contexto técnico a los usuarios afectados.