GitLab corrige una falla crítica CVSS 10 que permite ejecutar código sin autenticación
GitLab parcheó una vulnerabilidad de severidad máxima que permite ejecución remota de código sin autenticación en instancias self-managed. Afecta versiones desde 2014 y ya hay versiones corregidas disponibles.
GitLab publicó parches para CVE-2026-110264, una vulnerabilidad de severidad máxima, con puntaje CVSS 10, que permite ejecución remota de código sin autenticación en instancias self-managed. El fallo afecta versiones desde la 7.0, publicada en 2014, y quedó corregido en las versiones 19.5.1, 19.4.3 y 19.3.6.
El alcance de la falla es amplio porque no requiere credenciales ni interacción del usuario, y porque las instalaciones autoalojadas concentran activos especialmente sensibles: repositorios de código, secretos y variables de CI/CD, credenciales de despliegue y accesos a entornos de producción. Una explotación exitosa daría a un atacante no autenticado una posición desde la cual moverse hacia el resto de la infraestructura.
La publicación llega en una semana con varios incidentes de seguridad activos en el ecosistema, entre ellos el caos generado por PHP2Shell, y con el antecedente de que este tipo de vulnerabilidades suele atraer escaneos automatizados poco después de hacerse pública la noticia. La recomendación estándar es actualizar de inmediato y no esperar a la ventana de mantenimiento habitual.
Además de la actualización, conviene revisar los registros de acceso en busca de actividad anómala, rotar credenciales y tokens que hayan estado expuestos en la instancia y verificar que los runners y las integraciones externas no conserven permisos innecesarios.
Fuente: The Register.