El 21 de octubre, GitLab publicó actualizaciones de seguridad de emergencia para una vulnerabilidad de gravedad máxima que podría permitir a atacantes sin cuenta ejecutar código en servidores autogestionados.
La compañía instó a los administradores afectados a actualizar sus instalaciones. La vulnerabilidad está registrada como CVE-2026-110264 y tiene una puntuación CVSS de 10.0. El error se debe a un desbordamiento de enteros, que ocurre cuando un número alcanza un valor demasiado grande mientras GitLab convierte un patrón de búsqueda de texto especialmente diseñado en un formato que su software puede utilizar.
La vulnerabilidad afecta a las versiones de GitLab Community Edition y Enterprise Edition desde la 7.0, publicada en 2014. Esto no significa que la vulnerabilidad se explotara durante todo ese período. GitLab afirma que, «en determinadas condiciones», el error podría permitir a los atacantes ejecutar cualquier código.
La compañía no ha explicado públicamente cuáles son esas condiciones. Hasta el 22 de octubre, no había informado de ataques conocidos que aprovecharan la vulnerabilidad. Las versiones corregidas son la 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 y 18.11.13.
Los administradores que instalaron la actualización de GitLab del 12 de octubre también deben comprobar qué versión tienen. Esa actualización anterior no incluía esta corrección. GitLab.com ya se ha actualizado con el parche.
Las instalaciones autogestionadas deben actualizarse a la versión corregida correspondiente a su rama.