GitLab — Falla Crítica en el Motor de Expresiones Regulares Permite RCE No Autenticado en Instancias Autogestionadas (CVE-2026-110264)

Fecha de publicación: 21 de octubre de 2026
Categoría: Vulnerability / Software Security

Introducción

El 21 de octubre de 2026, la plataforma GitLab emitió avisos de seguridad de emergencia para abordar una vulnerabilidad crítica de ejecución remota de código (RCE) sin autenticación que impacta prácticamente a todo el historial operativo de la plataforma en servidores autogestionados (self-managed). Reportado por el investigador joaxcar —quien ha identificado múltiples fallos en el motor de expresiones regulares durante el último mes—, el problema afecta a todas las versiones de GitLab liberadas desde la versión 7.0 en el año 2014. Esta vulnerabilidad, registrada bajo el identificador CVE-2026-110264, posee la puntuación máxima de 10.0 en la escala CVSS v3.1 y exige una actualización inmediata por parte de los administradores de infraestructura, incluso en aquellos entornos que habían aplicado parches pocos días antes.

¿Qué es CVE-2026-110264? (Análisis General)

La vulnerabilidad CVE-2026-110264 reside en la forma en que GitLab procesa y compila expresiones regulares dentro de las configuraciones de integración y despliegue continuo (CI/CD). Específicamente, el fallo se origina en un desbordamiento de enteros (integer overflow) durante la compilación de expresiones regulares manipuladas con malicia dentro del motor interno utilizado por la plataforma.

El alcance de este fallo es extraordinario debido a que el componente afectado no es código nativo exclusivo de GitLab, sino el motor de expresiones regulares integrado de Ruby, conocido como Onigmo. Al empaquetar y parchear este motor de manera interna en sus compilaciones, GitLab ha arrastrado esta debilidad arquitectónica a lo largo de 12 años de lanzamientos.

  • Vector CVSS oficial (estimado/análogo a vulnerabilidades gemelas del motor): CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H — 10.0 (CRITICAL).
  • Clasificación CWE oficial relacionada con desbordamientos por expresiones regulares en la serie: CWE-190 (Integer Overflow or Wraparound).
  • Estado CISA KEV: No reportado en el catálogo de explotaciones conocidas al 22 de octubre de 2026.

¿Cómo funciona? (Análisis Técnico)

El mecanismo de explotación se articula a través de interacciones con el subsistema de compilación de patrones (regex) en flujos de trabajo de CI/CD:

  • Flujo de entrada del exploit: Un atacante sin privilegios ni necesidad de autenticación previa envía una configuración de CI/CD diseñada específicamente con expresiones regulares complejas o sobredimensionadas. El servidor procesa esta entrada para compilarla en el motor Onigmo.
  • Mecanismo de desbordamiento y ejecución: Durante el cálculo de asignación de memoria para la compilación del patrón malicioso, se produce un desbordamiento de enteros (CWE-190). Esto corrompe las estructuras de memoria dinámicas del proceso del servidor, permitiendo al atacante alterar el flujo de ejecución y ejecutar comandos arbitrarios con los privilegios del servicio GitLab.
  • Ausencia de precondiciones conocidas: Hasta el momento, el fabricante no ha divulgado las condiciones exactas de activación que el atacante requiere para alcanzar el motor de compilación, lo que imposibilita a los administradores mitigar el riesgo mediante cambios de configuración preventivos. La actualización de software es la única vía de mitigación efectiva.

Sistemas / Entornos Afectados

El fallo impacta a todas las instalaciones de GitLab CE/EE autogestionadas desde la versión 7.0 hasta las versiones anteriores a los parches recientes. Los servicios en la nube gestionados directamente por la compañía (GitLab.com y GitLab Dedicated) ya se encuentran protegidos.

CVE Categoría (CWE) Impacto CVSS Vector (resumido)
CVE-2026-110264 CWE-190 (Estimado) RCE No Autenticado 10.0 (Crítico) AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CVE-2026-97229 CWE-190 RCE No Autenticado 10.0 (Crítico) CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CVE-2026-93577 CWE-190 RCE Autenticado 9.9 (Crítico) CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
CVE-2026-89078 CWE-415 RCE Autenticado 9.9 (Crítico) CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:L
CVE-2026-15723 No especificado Toma de cuenta (SAML/LDAP) 8.2 (Alto) Red/Autenticado/Complejidad Baja
CVE-2026-112212 No especificado Envenenamiento de caché (OAuth/OIDC) 7.5 (Alto) Red/Autenticado/Complejidad Baja

Matriz de Versiones y Actualización Requerida

  • Versiones 19.5 anteriores a 19.5.1 $\rightarrow$ Actualizar a 19.5.1
  • Versiones 19.4 anteriores a 19.4.3 $\rightarrow$ Actualizar a 19.4.3
  • Versiones 19.3 anteriores a 19.3.6 $\rightarrow$ Actualizar a 19.3.6
  • Versiones 19.2 anteriores a 19.2.9 $\rightarrow$ Actualizar a 19.2.9
  • Versiones 19.1 anteriores a 19.1.9 $\rightarrow$ Actualizar a 19.1.9
  • Versiones 19.0 anteriores a 19.0.10 $\rightarrow$ Actualizar a 19.0.10
  • Versiones 7.0 hasta 18.11 anteriores a 18.11.13 $\rightarrow$ Actualizar a 18.11.13

Mitigación y Detección

Remediación

  • Actualización inmediata: Aplique el parche correspondiente a su rama de versión de inmediato. Tenga en cuenta que las actualizaciones a 19.4.3 y 19.3.6 ejecutan migraciones de base de datos que pueden requerir ventana de mantenimiento y tiempo de inactividad (downtime) en arquitecturas de nodo único.
  • Backports excepcionales: GitLab ha desplegado parches extraordinarios para versiones históricas (18.11.13, 19.0.10, 19.1.9, 19.2.9), una medida reservada exclusivamente para amenazas de severidad crítica extrema.

Detección

Los equipos defensivos deben auditar los registros de aplicación en busca de anomalías relacionadas con fallos en el motor nativo y desbordamientos. GitLab ha liberado reglas de detección en formato Sigma a través de su framework de código abierto TLDR, destacando las reglas:

  • Onigmo native worker crash
  • Org mode render error burst

Nota Operativa: “La falta de precondiciones conocidas sobre el acceso al motor de compilación impide descartar entornos mediante configuraciones de hardening; la única medida de mitigación certera es la instalación del parche oficial suministrado por el proveedor.”

Recapitulando

La vulnerabilidad CVE-2026-110264 representa uno de los fallos de seguridad más amplios y severos en la historia reciente de GitLab, comprometiendo más de una década de lanzamientos de software autogestionado a través del motor Onigmo. Con una puntuación CVSS de 10.0 y un vector de ejecución de código no autenticado, subraya la complejidad subyacente en el procesamiento de dependencias de terceros y motores integrados. Los administradores de sistemas deben priorizar la aplicación de los parches correspondientes y utilizar las reglas Sigma provistas para detectar posibles intentos de explotación en sus registros.

Referencias