CISA confirma que el fallo máximo de GitLab (CVSS 10,0) ya se explota en ataques reales y da de plazo hasta el domingo

CISA añadió el jueves CVE-2026-97229 a su catálogo de vulnerabilidades explotadas (KEV), confirmando que el fallo más grave de GitLab ya se usa en ataques reales. Las agencias federales tienen hasta el domingo 1 de noviembre para parchear, y la agencia pide la misma urgencia a todos los equipos. GitLab ha publicado además reglas de detección para instancias autogestionadas, tras detectar intentos de explotación.

El fallo tiene la puntuación máxima, CVSS 10,0: un desbordamiento de entero en Onigmo, el motor de expresiones regulares de Ruby que GitLab usa al compilar las configuraciones de CI/CD, descubierto por un investigador que firma como joaxcar. Con una expresión regular manipulada en una de esas configuraciones, un atacante sin autenticarse puede ejecutar código en el servidor. GitLab lo parcheó el 12 de octubre (versiones 19.4.2, 19.3.5 y 19.2.8), y Rapid7 publicó una prueba de concepto funcional un día después.

El intento mejor documentado es el de Alpine Linux. Un atacante con una cuenta recién registrada atacó su GitLab los días 20 y 21 de octubre, una semana después del parche: tumbó ocho veces los procesos del servidor, en cuatro intentos llegó a mitad del exploit y descargó la imagen del contenedor de Alpine, aparentemente para ajustar el ataque a su configuración. Alpine no encontró pruebas de que funcionara, pero tampoco pudo descartarlo: reconstruyó la instancia desde cero, restableció todas las contraseñas y verificó que sus paquetes no fueron manipulados.

Y ahí está la trampa. El error vive en Ruby, no en GitLab: Alpine actualizó a GitLab 19.3.6 el 22 de octubre y siguió vulnerable, porque su imagen usa el Ruby estándar y no el que GitLab parchea en sus paquetes. Quien instale GitLab desde el código fuente o con su propio Ruby necesita además Ruby 3.3.13, 3.4.12 o 4.0.9 o posterior; Ruby 3.2, en fin de vida desde abril, no recibirá corrección. GitLab.com y GitLab Dedicated ya están parcheados.

La escala explica el plazo. Shadowserver sigue a casi 2.800 instancias de GitLab Community Edition expuestas en internet, y GitLab es la plataforma de código de más del 50% de las empresas del Fortune 100, con más de 70 millones de usuarios registrados: un servidor comprometido guarda el código y los secretos de una organización entera. Es el sexto fallo de GitLab que CISA marca como explotado desde 2021. La orden práctica es doble: actualizar GitLab y también Ruby, si la instalación usa el suyo.