GitLab CVE-2026-110264: RCE con CVSS 10, hay que volver a parchear
GitLab publicó el 21 de octubre de 2026 un parche de seguridad crítico para CVE-2026-110264, un fallo de ejecución remota de código sin autenticación con una puntuación CVSS de 10.0. Afecta a GitLab Community y Enterprise Edition autogestionado hasta la versión 7.0 (2014). GitLab.com ya estaba parcheado. Si gestionas tu propio GitLab, esto es para parchear ya, y si solo aplicaste la corrección de expresiones regulares anterior, del 12 de octubre, no estás cubierto.
Qué es
El fallo es un desbordamiento de enteros en el compilador de expresiones regulares Onigmo incluido. Procesado por la ruta equivocada, puede permitir que un atacante que no se ha autenticado ejecute código en el servidor, lo cual, en un sistema que guarda tu código fuente, tus pipelines de CI/CD, tus claves de despliegue y tus credenciales del registro, es casi lo peor que puede pasar. Por eso GitLab le asignó la puntuación CVSS máxima, 10.0. La vulnerabilidad la comunicó de forma responsable el investigador joaxcar a través de HackerOne.
A quién afecta
Están afectadas todas las versiones CE/EE autogestionadas desde la 7.0 (2014), en concreto todo lo anterior a estas versiones corregidas:
- Todas las versiones anteriores a la 18.11.13
- La 19.0 anterior a la 19.0.10
- La 19.1 anterior a la 19.1.9
- La 19.2 anterior a la 19.2.9
- La 19.3 anterior a la 19.3.6
- La 19.4 anterior a la 19.4.3
- La 19.5 anterior a la 19.5.1
Solo reciben parche las ramas con soporte actual (18.11 y posteriores). Si estás en una versión sin soporte (la 18.10 o anterior; el aviso enmarca el soporte en torno a la línea 18.x), no hay backport para ti y la corrección es actualizar a una versión con soporte.
Comprueba tu versión
En el host donde está instalado GitLab, ejecuta:
sudo gitlab-rake gitlab:env:infoCompara la versión que indica con la lista de versiones corregidas de arriba.
La trampa de «yo ya parcheé el día 12»
Esta es la parte que está pillando a la gente. El 12 de octubre de 2026 salió otra corrección crítica de expresiones regulares distinta. Muchos administradores parchearon entonces, vieron «corrección de regex, hecho» y siguieron adelante. CVE-2026-110264 es un fallo diferente, parcheado el 21 de octubre. Aplicar la versión del 12 de octubre no te protege frente a él. El único estado seguro es estar en una de las versiones corregidas del 21 de octubre (o en una posterior de la misma rama).
Qué hacer ahora
- Actualiza a una versión corregida: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13 o una posterior de la misma rama.
- Confírmalo con
sudo gitlab-rake gitlab:env:infoy reinicia o vuelve a desplegar los servicios afectados. - Reduce la exposición mientras tanto si no puedes parchear de inmediato: restringe el acceso público a la instancia, ponla detrás de SSO o de una VPN y asegúrate de que tu WAF y tu monitorización la vigilan. Esto reduce las vías de ataque, pero no sustituye al parche.
- Si estaba expuesta a internet y sin parchear, trátala como potencialmente en riesgo, revisa los logs de acceso y pon en marcha tu proceso de respuesta a incidentes. GitLab no informa todavía de explotación conocida, pero una RCE sin autenticación con CVSS 10 en una instancia expuesta merece una revisión.
Por qué importa más allá de GitLab
Un servidor de control de código fuente y de CI/CD es un objetivo de gran valor precisamente porque llega a todo lo demás: código, secretos, pipelines, producción. La lección que se repite una y otra vez en 2026 es poco vistosa: saber qué servicios expuestos a internet tienes, controlar sus versiones y tener una vía para parchear un CVSS 10 el mismo día que sale. Shadowserver sigue varios miles de instancias de GitLab CE expuestas a internet; las que salen perjudicadas rara vez son las que parchearon el primer día. Si vas a poner por escrito una ruta de respuesta a incidentes, nuestro Incident Response Plan Builder (con una cuenta gratuita tienes 3 usos de prueba) y el resto de las herramientas de seguridad de PlayCISO son un punto de partida.
Fuentes
Este artículo recoge el propio aviso de GitLab e información independiente. Verifícalo con el aviso del fabricante antes de cambiar sistemas en producción:
- GitLab Critical Patch Release 19.5.1 (GitLab)
- CVE-2026-110264 (Tenable / NVD)
- GitLab warns of new max severity code execution vulnerability (BleepingComputer)
PlayCISO no está afiliado a GitLab. A 22 de octubre de 2026, GitLab no había informado de ninguna explotación activa confirmada.
Preguntas frecuentes
¿Qué es CVE-2026-110264?
Una vulnerabilidad crítica que GitLab parcheó el 21 de octubre de 2026: un desbordamiento de enteros en el compilador de expresiones regulares Onigmo incluido que puede permitir a un atacante sin autenticar ejecutar código arbitrario en una instancia de GitLab autogestionada. GitLab le asigna un CVSS de 10.0, el máximo. Afecta a Community y Enterprise Edition autogestionados desde la versión 7.0 (2014). GitLab.com (el SaaS) ya lo había parcheado GitLab.
¿Estoy afectado y cómo lo compruebo?
Estás afectado si ejecutas GitLab CE/EE autogestionado en cualquier versión desde la 7.0 hasta (sin incluirlas) las versiones corregidas: todas las versiones anteriores a la 18.11.13, la 19.0 anterior a la 19.0.10, la 19.1 anterior a la 19.1.9, la 19.2 anterior a la 19.2.9, la 19.3 anterior a la 19.3.6, la 19.4 anterior a la 19.4.3 y la 19.5 anterior a la 19.5.1. En la máquina donde está instalado GitLab, ejecuta «sudo gitlab-rake gitlab:env:info» para ver tu versión y compárala con esa lista.
Ya parcheé el 12 de octubre, ¿estoy a salvo?
No necesariamente. El 12 de octubre de 2026 salió otra corrección crítica de expresiones regulares distinta, y algunos administradores se quedaron ahí. CVE-2026-110264 es un problema diferente, parcheado el 21 de octubre. Si tu instancia no está en una de las versiones corregidas del 21 de octubre (19.5.1 / 19.4.3 / 19.3.6 / 19.2.9 / 19.1.9 / 19.0.10 / 18.11.13 o una posterior de la misma rama), sigues expuesto y tienes que volver a actualizar.
¿Se está explotando?
A 22 de octubre de 2026, GitLab afirma que no hay ningún exploit de prueba de concepto público ni explotación activa conocida. No es motivo para esperar: es una RCE sin autenticación con CVSS 10.0, Shadowserver sigue varios miles de instancias de GitLab CE expuestas a internet y los detalles se irán aclarando con el tiempo. Trátala como algo para parchear ya. El fallo lo comunicó de forma responsable el investigador joaxcar a través de HackerOne.
¿Qué debemos hacer ahora?
Actualiza GitLab autogestionado a una versión corregida (19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13 o una posterior de la misma rama), vuelve a ejecutar «sudo gitlab-rake gitlab:env:info» para confirmarlo y reinicia los servicios afectados. Hasta que puedas parchear, reduce la exposición: restringe el acceso público a la instancia, mantenla detrás de SSO o VPN siempre que puedas y vigila tus logs. Si la instancia estaba expuesta a internet y sin parchear, trátala como potencialmente en riesgo y sigue tu plan de respuesta a incidentes. Verifica siempre los pasos con el aviso oficial de GitLab antes de tocar producción.