✨︎ Resumen (TL;DR):
- GitLab publicó el 21 de octubre de 2026 parches para CVE-2026-110264, una falla que permitiría ejecutar código sin autenticación en servidores autogestionados bajo ciertas condiciones.
- La vulnerabilidad tiene una puntuación de 10.0 en CVSS y deriva de un desbordamiento de entero en el compilador de expresiones regulares.
- Las versiones 19.4.2, 19.3.5 y 19.2.8, publicadas el 12 de octubre para otra vulnerabilidad, siguen dentro de los rangos afectados.
GitLab publicó el 21 de octubre de 2026 parches para CVE-2026-110264, una falla con una puntuación de 10.0 en CVSS que permitiría ejecutar código sin autenticación en servidores autogestionados bajo ciertas condiciones. La compañía urge a actualizar las instalaciones autogestionadas de Community Edition (CE) y Enterprise Edition (EE). Según GitLab, GitLab.com y GitLab Dedicated ya tienen la corrección.
El origen está en un desbordamiento de entero
CVE-2026-110264 es una vulnerabilidad crítica que deriva de un desbordamiento de entero en el compilador de expresiones regulares, según GitLab. La falla afecta las versiones de CE y EE anteriores al parche correspondiente dentro de cada rama.
GitLab publicó el 21 de octubre de 2026 estas versiones corregidas:
| Rama | Versión corregida |
|---|---|
| 19.5 | 19.5.1 |
| 19.4 | 19.4.3 |
| 19.3 | 19.3.6 |
| 19.2 | 19.2.9 |
| 19.1 | 19.1.9 |
| 19.0 | 19.0.10 |
| 7.0 a 18.11 | 18.11.13 |
La actualización del 12 de octubre no bastaba
El 12 de octubre, GitLab había publicado las versiones 19.4.2, 19.3.5 y 19.2.8 para corregir otra vulnerabilidad, CVE-2026-97229, también relacionada con expresiones regulares. Aquel aviso delimitaba esa falla a versiones desde la 19.2.
La comparación de ambos avisos muestra que esas tres actualizaciones todavía están dentro de los rangos afectados por CVE-2026-110264. Una instalación que permanezca en cualquiera de esas versiones aún debe avanzar a 19.4.3, 19.3.6 o 19.2.9, según su rama.
Las instalaciones antiguas requieren una ruta
Para las instalaciones más antiguas, la tabla identifica una versión que incorpora la corrección, pero el recorrido depende de la versión de partida. La guía oficial de GitLab establece pasos intermedios obligatorios en determinados saltos y pide completar las migraciones de datos en segundo plano antes de continuar.
En la serie 18, esos puntos de paso son 18.2, 18.5, 18.8 y 18.11, según la versión de partida. La documentación recomienda instalar el parche más reciente de cada versión intermedia.
GitLab mantiene una herramienta para calcular la ruta con base en la versión actual y la de destino. La antigüedad de una instalación determina cuánto trabajo puede requerir la actualización.
Por eso, la versión actual define el parche aplicable y la ruta necesaria para llegar a él en una instalación antigua.
