GitLab parchea una falla crítica que permite ejecutar código a distancia en versiones desde 2014

GitLab publicó el miércoles un parche para una vulnerabilidad de severidad máxima identificada como CVE-2026-110264. Se trata de un desbordamiento de entero en la compilación de expresiones regulares que permite a un atacante no autenticado ejecutar código arbitrario en servidores self-managed, tanto en la edición Community como en la Enterprise. El alcance es inusualmente amplio: la falla afecta instalaciones desde GitLab 7.0, versión publicada en junio de 2014, es decir, alrededor de doce años de versiones expuestas.

El detalle técnico explica la gravedad. Un desbordamiento de entero ocurre cuando una operación aritmética produce un valor fuera del rango que el tipo de dato puede representar, y el resultado se interpreta como un número válido. Si ese cálculo alimenta la reserva de memoria o la construcción de una estructura interna, el error puede derivar en escritura fuera de los límites previstos y, con ello, en ejecución de código. Que el vector esté en la compilación de expresiones regulares importa porque es una ruta que se activa con datos de entrada y no exige credenciales previas.

Para quienes administran instancias propias —de una organización o de un cliente— la conclusión operativa no admite espera: la actualización debe aplicarse de inmediato, no el lunes siguiente. No hay autenticación que sirva de barrera intermedia ni configuración que reduzca el riesgo de forma confiable si el servicio está expuesto a la red. Conviene además revisar si la instancia quedó accesible desde internet y si hay indicios de actividad anómala en los registros previos al parche.

El caso se suma a una semana cargada de fallas en herramientas de infraestructura, desde la cadena de suministro de software hasta plataformas de gestión remota. El patrón se repite: el objetivo no es solo la aplicación que un equipo escribe, sino también la infraestructura que sostiene su trabajo diario, el servidor de repositorios donde vive el código y los sistemas que permiten compilarlo y desplegarlo. Esa capa suele administrarse con menos atención que el producto final y concentra privilegios considerables.
Fuente: The Register.