GitLab publicó el 21 de octubre de 2026 parches para una falla que permitiría ejecutar código sin autenticación en servidores autogestionados bajo ciertas condiciones. La empresa urge a actualizar.
La falla CVE-2026-110264, con 10.0 en CVSS, deriva de un desbordamiento de entero en el compilador de expresiones regulares, según GitLab.
GitLab.com y GitLab Dedicated ya están corregidos, según la compañía.
Las versiones que corrigen la falla
En Community Edition (CE) y Enterprise Edition (EE), están afectadas las versiones de cada rama anteriores al parche indicado:
| Rama | Versión corregida |
|---|---|
| 19.5 | 19.5.1 |
| 19.4 | 19.4.3 |
| 19.3 | 19.3.6 |
| 19.2 | 19.2.9 |
| 19.1 | 19.1.9 |
| 19.0 | 19.0.10 |
| 7.0 a 18.11 | 18.11.13 |
El parche anterior y las instalaciones antiguas
El 12 de octubre, GitLab había publicado las versiones 19.4.2, 19.3.5 y 19.2.8 para corregir otra vulnerabilidad, CVE-2026-97229, también relacionada con expresiones regulares. Aquel aviso delimitaba esa falla a versiones desde la 19.2.
La comparación de ambos avisos muestra que esas tres actualizaciones siguen dentro de los rangos afectados por la nueva vulnerabilidad.
Para las instalaciones más antiguas, la tabla identifica una versión que incorpora la corrección, pero el recorrido depende de la versión de partida. La guía oficial de GitLab establece pasos intermedios obligatorios en determinados saltos y pide completar las migraciones de datos en segundo plano antes de continuar.
En la serie 18, esos puntos de paso son 18.2, 18.5, 18.8 y 18.11, según la versión de partida. La documentación recomienda instalar el parche más reciente de cada versión intermedia.
La antigüedad de una instalación determina así cuánto trabajo puede requerir la actualización. GitLab mantiene una herramienta para calcular esa ruta según la versión actual y la de destino.
