CISA incorpora CVE-2026-97229 al KEV: qué deben revisar las instalaciones GitLab
CISA añadió el 29 de octubre la vulnerabilidad de expresión regular de CI/CD de GitLab al catálogo KEV. Afecta a instalaciones autogestionadas en ramas anteriores a 19.2.8, 19.3.5 y 19.4.2; el vector reproducido por Rapid7 requiere primero poder escribir una configuración de pipeline.
CISA añadió CVE-2026-97229 al catálogo KEV el 29 de octubre, con fecha federal de remediación el 1 de noviembre. El fallo está en el compilador de expresiones regulares que GitLab usa al evaluar ciertas configuraciones de CI/CD: bajo condiciones concretas, un patrón manipulado puede acabar en ejecución remota de código en el servidor. La alerta afecta a GitLab Community Edition y Enterprise Edition autogestionados; GitLab afirma que GitLab.com y GitLab Dedicated ya están parcheados, así que no conviene asignar la misma tarea a todos los modelos de despliegue.
La puntuación no explica por sí sola el camino de ataque
GitLab clasifica el problema como un desbordamiento de entero en la validación de expresiones regulares y le asigna CVSS 10.0. Esa puntuación describe un vector de máxima severidad, pero no explica cómo llega una entrada hasta el compilador. Rapid7 reprodujo una cadena en una imagen oficial 19.4.1: para esa ruta, el atacante primero necesitaba poder escribir un archivo .gitlab-ci.yml malicioso y una ruta UTF-8 en un proyecto público; solo la petición final de CI Lint era anónima. En instalaciones que permiten auto-registro y creación de proyectos públicos, esa condición previa puede ser mucho más fácil de alcanzar.
-InfraCrew dice: «Sin autenticar» en el último paso no significa que el servidor acepte cualquier petición anónima como pipeline.-
Hay una diferencia temporal que conviene mantener visible. Rapid7 publicó su análisis inicial el 13 de octubre y entonces dijo que no tenía confirmación de explotación en Internet; CISA incorporó la CVE al KEV el 29 de octubre, una actualización posterior que indica explotación conocida, pero no identifica actor, volumen ni organizaciones afectadas. Tampoco se debe inferir que todo GitLab expuesto haya sido comprometido. La página de CISA exige remediación a agencias federales estadounidenses; para otras organizaciones, la fecha sirve como señal de prioridad, no como plazo regulatorio propio.
Ramas afectadas y versiones corregidas
GitLab publicó correcciones para sus ramas mantenidas. Las versiones mínimas que corrigen esta CVE son:
| Rama | Afectadas | Primera versión corregida |
|---|---|---|
| 19.2 | anteriores a 19.2.8 | 19.2.8 |
| 19.3 | anteriores a 19.3.5 | 19.3.5 |
| 19.4 | anteriores a 19.4.2 | 19.4.2 |
La versión mínima no siempre es el destino más sensato: antes de cerrar el cambio, comprueba cuál es el último parche soportado de tu rama y si contiene correcciones posteriores. GitLab publicó el fix el 12 de octubre; como con cualquier actualización acumulativa, la tarea operativa es desplegar una versión compatible en todas las instancias autogestionadas, no limitarse a instalar un paquete en el nodo que ejecuta la interfaz.
-InfraCrew dice: El número de versión en el ticket y el que sirve peticiones desde el balanceador deberían terminar siendo el mismo.-
Empieza por inventariar las instancias CE y EE, sus ramas, la exposición desde redes no confiables y las reglas que permiten crear proyectos públicos o enviar cambios a esos repositorios. El foco es el GitLab que operas tú: los clientes del servicio alojado no deberían duplicar una actualización que GitLab ya aplicó en su plataforma, aunque sí pueden revisar los avisos de su proveedor. En despliegues con varios nodos, valida el resultado en cada instancia y confirma que no quede un miembro antiguo detrás del balanceador.
Si la actualización necesita una ventana, GitLab y Rapid7 describen controles temporales como restringir la creación anónima de proyectos públicos o impedir que usuarios no confiables escriban en ellos. Esas restricciones reducen la ruta reproducida, pero no reparan el compilador vulnerable ni sustituyen el parche. Su efecto depende del flujo de contribución: bloquear proyectos públicos puede afectar a equipos que usan repositorios abiertos, por lo que hay que valorar el impacto antes de aplicar una política general.
-InfraCrew dice: Una mitigación que rompe el flujo de contribución puede convertirse en otra incidencia; déjala acotada y con fecha de retirada.-
La inclusión en KEV justifica tratar el asunto como una prioridad alta, junto con la revisión de accesos de proyecto y la actualización. Si aparecen configuraciones CI inesperadas o actividad anómala, conserva los registros y sigue la guía de respuesta de GitLab antes de borrar repositorios o reconstruir nodos. CVE-2026-97229 no prueba por sí sola una intrusión; sí cambia la urgencia de revisar qué instancias estaban expuestas y qué evidencia puede conservarse.
Diccionario de la Crew
KEV — Catálogo de CISA de vulnerabilidades con explotación conocida.
CI/CD — Integración y entrega continuas: automatización que valida, construye y despliega cambios de software.
Expresión regular — Patrón formal que permite buscar o validar cadenas de texto.
RCE — Ejecución remota de código en un sistema a través de una entrada procesada por el servicio.
CE/EE — Ediciones Community Edition y Enterprise Edition de GitLab.
