CVE-2026-97229: Vulnerabilidad de Desbordamiento de Enteros en GitLab Community Edition y Enterprise Edition

Según Help Net Security, CVE-2026-97229 es una vulnerabilidad de desbordamiento de enteros en el Compilador de Expresiones Regulares de CI/CD de GitLab, y afecta tanto a GitLab Community Edition (CE) como a Enterprise Edition (EE)[2]. El medio dice que GitLab ha asignado a la vulnerabilidad una puntuación CVSS de 10.0, la más alta posible.[2]Rapid7 dice que ha reproducido de forma independiente la ejecución de código arbitrario en una imagen oficial de GitLab CE sin parches[3]. Sus pruebas encontraron que un atacante primero debe poder confirmar un archivo de configuración de CI/CD malicioso[3] en un proyecto público. SecurityOnline reporta que Censys estima que 25.766 hosts accesibles desde internet y 79.224 propiedades web ejecutan actualmente versiones vulnerables.[4]Alpine Linux dice que el 20 y 21 de octubre, una cuenta recién registrada envió configuraciones de CI creadas[5] a su instancia de GitLab sin parches, que causó el bloqueo de procesos de trabajo de GitLab 8 veces.[5] El proyecto dice que reconstruyó la instancia de GitLab desde cero[5] porque no pudo descartar la ejecución de código. También dice que ninguna clave de firma fue expuesta.[5]Alpine también advierte que actualizar GitLab solo puede no solucionar la falla: "La solución no está en el código propio de GitLab sino en un parche de Ruby, que GitLab aplica solo en sus paquetes oficiales."[5]Según HOL, los paquetes de Linux y las imágenes oficiales de GitLab están corregidos a partir de 19.4.2, 19.3.5 y 19.2.8[1]. Las compilaciones personalizadas también necesitan Ruby 3.3.13, 3.4.12 o 4.0.9.[1] HOL dice que CISA ha establecido una fecha de vencimiento del 1 de noviembre de 2026 para las agencias federales estadounidenses y triaje forense requerido.[1]