Múltiples vulnerabilidades en GitLab CE/EE de GitLab

Fecha de publicación 22/10/2026

Identificador

INCIBE-2026-766

Importancia

5 - Crítica

Recursos Afectados

GitLab Community Edition (CE) y Enterprise Edition (EE). Los rangos afectados varían según el CVE; el fallo crítico CVE-2026-110264 afecta a versiones desde la 7.0 anteriores a las versiones corregidas.

18.11: anteriores a 18.11.13.
19.0: anteriores a 19.0.10.
19.1: anteriores a 19.1.9.
19.2: anteriores a 19.2.9.
19.3: anteriores a 19.3.6.
19.4: anteriores a 19.4.3.
19.5: anteriores a 19.5.1.

La versión mínima afectada difiere para algunas de las vulnerabilidades incluidas en el boletín.

Descripción

GitLab ha publicado una actualización crítica que corrige vulnerabilidades en CE y EE. La de mayor gravedad, CVE-2026-110264, consiste en un desbordamiento de entero durante la compilación de expresiones regulares y, en determinadas condiciones, podría permitir a un atacante no autenticado ejecutar código arbitrario en el servidor.

El lanzamiento también corrige vulnerabilidades altas de autenticación y de envenenamiento de caché en los puntos de descubrimiento OAuth/OIDC.

Solución

Actualizar las instalaciones autogestionadas de GitLab a la última versión corregida disponible para su rama: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 o 18.11.13.

GitLab.com ya ejecuta una versión corregida. Los clientes de GitLab Dedicated con 19.3.5-internal0, 19.4.2-internal0 o posterior ya incluyen la corrección, según el fabricante.

GitLab ofrece detecciones de amenazas para ayudar a identificar intentos de explotación en instancias autogestionadas.

Detalle

CVE-2026-110264: un desbordamiento de entero al compilar una expresión regular especialmente manipulada puede permitir la ejecución remota de código sin autenticación.

CVE