GitLab ha emitido una advertencia urgente para que los usuarios parcheen inmediatamente una vulnerabilidad de severidad máxima (CVE-2026-97229) en su compilador de expresiones regulares para CI/CD. Este fallo, reportado por el investigador joaxcar a través del programa de recompensas HackerOne, permite a atacantes remotos ejecutar código arbitrario en instancias objetivo mediante expresiones regulares maliciosas en las configuraciones de pipelines. El error se debe a una sobrecarga de enteros en la validación de estas expresiones, lo que permite a usuarios no autenticados comprometer el servidor.
La empresa ha corregido el problema en las versiones de GitLab Community Edition (CE) y Enterprise Edition (EE) anteriores a las 19.2.8, 19.3.4 y 19.4.2, respectivamente. GitLab recomienda actualizar todas las instalaciones autoadministradas a estas versiones de inmediato, ya que GitLab.com ya opera con la versión parcheada. Los clientes de GitLab Dedicated no requieren acciones adicionales. Esta es la última de una serie de vulnerabilidades críticas que GitLab ha resuelto en los últimos meses, incluyendo un bypass de autenticación de dos factores (CVE-2026-0723) y una vulnerabilidad de travesía de ruta (CVE-2026-85706) que permite leer credenciales sensibles. CISA ha incluido la última en su catálogo de vulnerabilidades explotadas en la vida real, ordenando a las agencias federales de EE. UU. asegurar sus sistemas en tres días. GitLab, utilizada por más de 30 millones de usuarios y empresas como Nvidia y Goldman Sachs, enfatiza la necesidad de mantener su plataforma DevSecOps actualizada para mitigar riesgos de seguridad.