CVE-2026-110264: Grave fallo de RCE en GitLab afecta 12 años de versiones

GitLab ha publicado actualizaciones de seguridad urgentes que abordan la CVE-2026-110264, una vulnerabilidad de máxima severidad que podría permitir a un atacante no autenticado ejecutar código arbitrario en servidores GitLab autogestionados vulnerables. La falla tiene un puntaje CVSS de 10.0 y afecta tanto a la GitLab Community Edition (CE) como a la Enterprise Edition (EE).

La vulnerabilidad es particularmente notable porque el código afectado data de GitLab 7.0, lanzado en 2014. Esto deja aproximadamente 12 años de versiones de GitLab dentro del rango vulnerable, aunque actualmente no hay evidencia de que los atacantes hayan estado explotando la debilidad durante ese período. GitLab reveló el problema y lanzó versiones parcheadas el 21 de octubre de 2026.

La vulnerabilidad se origina a partir de un desbordamiento de enteros activado mientras GitLab compila una expresión regular especialmente diseñada. Bajo ciertas condiciones, un atacante no autenticado podría usar esa condición para ejecutar código arbitrario en el servidor GitLab subyacente. GitLab ha retenido intencionalmente la trayectoria completa de explotación y los requisitos específicos mientras los administradores implementan parches.

Para organizaciones que gestionan infraestructuras autogestionadas de GitLab, el impacto potencial es grave. Los repositorios de GitLab frecuentemente contienen código fuente, configuración de CI/CD, secretos de despliegue, tokens de acceso, definiciones de infraestructura y conexiones a entornos de producción. La compromisión a nivel de servidor podría crear oportunidades para el robo de credenciales, manipulación de repositorios, ataques a la cadena de suministro, persistencia o movimiento lateral.

Los equipos de seguridad que buscan oportunidades de detección de la CVE-2026-110264 pueden aprovechar la Plataforma de Inteligencia de Detección AI-Nativa de SOC Prime para fortalecer la visibilidad sobre la explotación de vulnerabilidades y comportamiento posterior al compromiso en entornos de SIEM, EDR y Data Lake.

Haga clic Explorar Detecciones para acceder a contenido de detección relevante y lógica de búsqueda. Para detectar intentos de explotación de CVE-2026-110264, los defensores deben correlacionar la telemetría de la aplicación GitLab con la ejecución de procesos, el comportamiento anormal del servidor y la nueva lógica de detección de amenazas lanzada por GitLab.

Los practicantes de seguridad también pueden usar Prime Architect para transformar inteligencia sobre nuevas vulnerabilidades en reglas Sigma y consultas de búsqueda, validar la lógica de detección, generar Flujos de Ataque relevantes y traducir contenido de detección a través de plataformas de seguridad compatibles.

Contactar Ventas

Análisis de CVE-2026-110264

GitLab describe la vulnerabilidad como un desbordamiento de enteros en su compilador de expresiones regulares. Bajo ciertas condiciones, la compilación de una expresión regular especialmente diseñada puede llevar a la ejecución de código arbitrario en el servidor GitLab sin autenticación.

GitLab asignó a la vulnerabilidad el puntaje máximo CVSS v3.1 de 10.0, con el vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. Esto refleja una vulnerabilidad accesible por red con baja complejidad de ataque, sin privilegios requeridos y sin interacción del usuario, con un impacto potencialmente alto en confidencialidad, integridad y disponibilidad.

El investigador de seguridad joaxcar descubrió y reportó la vulnerabilidad a través del programa de recompensas de errores de HackerOne de GitLab. Las notas de versión de GitLab también hacen referencia a parches para el manejo de expresiones regulares en Ruby, mientras que los informes indican que el motor afectado subyacente es Onigmo, la implementación de expresiones regulares de Ruby integrada en los paquetes de GitLab.

La CVE-2026-110264 afecta a GitLab CE y EE en un rango inusualmente amplio:

• GitLab 7.0 hasta las versiones anteriores a 18.11.13
• GitLab 19.0 antes de 19.0.10
• GitLab 19.1 antes de 19.1.9
• GitLab 19.2 antes de 19.2.9
• GitLab 19.3 antes de 19.3.6
• GitLab 19.4 antes de 19.4.3
• GitLab 19.5 antes de 19.5.1

GitLab trasladó el parche a 18.11.13, 19.0.10, 19.1.9 y 19.2.9 además de sus ramas de parches soportadas normalmente debido a la severidad y la exposición inusualmente amplia.

El largo período vulnerable no significa que la falla haya sido explotada activamente desde 2014. Más bien, la funcionalidad vulnerable de expresiones regulares existía a lo largo de versiones que se remontan a GitLab 7.0. Ni GitLab ni los dos informes proporcionados han confirmado la explotación en ataques reales hasta el 22 de octubre de 2026.

Esta vulnerabilidad tampoco debe confundirse con la CVE-2026-97229, otra vulnerabilidad crítica de ejecución remota de código en GitLab relacionada con el procesamiento de expresiones regulares que fue parcheada a principios de octubre. Ese problema afectó a un rango más estrecho de versiones más recientes. La instalación de los parches del 12 de octubre para esa vulnerabilidad no protege automáticamente los sistemas de esta nueva falla revelada.

Por lo tanto, los administradores que recientemente actualizaron GitLab deben verificar la versión exacta instalada en lugar de asumir que una actualización de seguridad anterior de octubre proporciona suficiente protección.

Los detalles actualmente disponibles para la CVE-2026-110264 no revelan la entrada precisa controlada por el atacante, el punto final, la característica o las condiciones requeridas para llegar al compilador de expresiones regulares vulnerable. GitLab generalmente hace públicos los detalles de seguridad detallados 90 días después del lanzamiento que contiene un parche, reduciendo la disponibilidad inmediata de información técnica potencialmente utilizable mientras los clientes aplican parches.

No se ha revelado ningún PoC público de CVE-2026-110264 en los informes proporcionados o en el aviso de GitLab. Las Noticias de Ciberseguridad señalan específicamente que GitLab no ha publicado un exploit público, mientras que la empresa ha limitado la divulgación de la trayectoria completa del ataque.

Al mismo tiempo, la ausencia de una prueba de concepto pública no debe interpretarse como de bajo riesgo. Una vulnerabilidad remotamente accesible y no autenticada con una calificación CVSS de 10.0 representa un objetivo atractivo, particularmente porque los servidores autogestionados de GitLab son con frecuencia expuestos a internet.

Actualmente no hay IOC específicos de campaña para la CVE-2026-110264, como direcciones IP maliciosas, dominios, hashes de carga útil o patrones de solicitud de exploit confirmados porque ni GitLab ni los investigadores de seguridad citados han reportado explotación activa.

Sin embargo, GitLab ha publicado dos detecciones de amenazas destinadas a identificar posibles intentos de explotación en instalaciones autogestionadas:

• Crash del trabajador nativo de Onigmo
• Explosión de errores de renderizado de modo Org

Estas detecciones están diseñadas para identificar comportamientos sospechosos relacionados con intentos de activar la vulnerabilidad. Su presencia no confirma por sí misma la compromisión exitosa y debe correlacionarse con una telemetría de aplicación y endpoint más amplia.

Los equipos de seguridad deben investigar caídas inesperadas de la aplicación GitLab, explosiones de errores de renderizado, procesos anómalos originados en componentes GitLab o Ruby, ejecución inesperada de shell, mecanismos de persistencia recién creados y conexiones salientes desde servidores GitLab que se desvíen de los patrones operativos normales.

Mitigación para la CVE-2026-110264

GitLab recomienda encarecidamente que todas las organizaciones que operan instalaciones autogestionadas afectadas actualicen de inmediato. Las versiones corregidas son:

GitLab.com ya ha sido actualizado. Los inquilinos dedicados de GitLab que ejecutan versiones internas 19.3.5-internal0, 19.4.2-internal0 o posteriores ya contienen las correcciones necesarias y no necesitan tomar medidas para esta vulnerabilidad.

Los clientes autogestionados no deben retrasar la remediación mientras esperan detalles adicionales de explotación. GitLab no ha publicado una solución alternativa que ofrezca protección equivalente, por lo que la instalación de la versión corregida es la ruta de remediación fiable.

Antes de actualizar, los administradores deben revisar la documentación de actualización de GitLab y tener en cuenta las migraciones de bases de datos. GitLab advierte que los despliegues de un solo nodo pueden experimentar tiempo de inactividad mientras se completan las migraciones, mientras que los entornos multinodo debidamente configurados pueden seguir el proceso de actualización sin tiempo de inactividad del proveedor. Las versiones 19.3.6 y 19.4.3 contienen migraciones regulares, y 19.4.3 también incluye una migración posterior al despliegue.

Después de parchear, los equipos de seguridad deben realizar un análisis retrospectivo en lugar de tratar la actualización como prueba de que un servidor nunca fue objetivo. Revisen los registros de aplicaciones de GitLab para los dos indicadores de explotación publicados por GitLab e investiguen actividades sospechosas previas a la actualización.

Los defensores también deben examinar la telemetría del sistema operativo para:

• Procesos secundarios inesperados originados en GitLab, Ruby o trabajadores asociados
• Ejecución de shell o intérprete de scripts bajo cuentas de servicio de GitLab
• Nuevas claves SSH o cuentas administrativas
• Modificaciones inesperadas a repositorios o pipelines de CI/CD
• Trabajos programados o mecanismos de persistencia recién creados
• Cambios en runners, tokens de despliegue, tokens de acceso personal y tokens de acceso a proyectos
• Conexiones salientes inusuales desde el servidor GitLab
• Acceso no autorizado a secretos almacenados en variables de CI/CD
• Modificaciones inesperadas de paquetes, lanzamientos o repositorios

Si se sospecha un compromiso, las organizaciones deben aislar el servidor, preservar logs y artefactos forenses, rotar credenciales y tokens potencialmente expuestos, y validar la integridad de los repositorios y flujos de trabajo de CI/CD antes de devolver la instancia a producción.

Debido a que las instalaciones de GitLab a menudo actúan como infraestructura confiable dentro de las cadenas de desarrollo de software, los respondedores también deben determinar si un atacante pudo haber modificado el código fuente, los artefactos, las imágenes de contenedores, las plantillas de infraestructura como código o los flujos de trabajo de despliegue. Un servidor GitLab comprometido puede crear un riesgo en la cadena de suministro incluso después de que el servidor original haya sido remediado.

La Plataforma de Inteligencia de Detección AI-Nativa de SOC Prime puede ayudar a las organizaciones a fortalecer su postura de detección contra la explotación de vulnerabilidades emergentes proporcionando contenido de detección basado en comportamiento actualizado continuamente mapeado a MITRE ATT&CK®.

Descargo de responsabilidad: El contenido de detección puede no estar disponible para cada CVE. Verifique la Plataforma de SOC Prime para la cobertura actual. Si las detecciones relevantes aún no están disponibles, revise nuevamente, ya que nueva inteligencia de amenazas y contenido de detección se agregan continuamente.