CVE-2026-97229 entra en KEV: GitLab fija el parche urgente
CISA incorporó el 29 de octubre de 2026 CVE-2026-97229 a su catálogo de Known Exploited Vulnerabilities. La entrada afecta a GitLab Community Edition y Enterprise Edition y eleva una vulnerabilidad ya parcheada a una prioridad operativa: la inclusión en KEV indica evidencia de explotación en el mundo real, aunque no describa por sí sola cuántas instalaciones han sido comprometidas.
El fallo es un desbordamiento de enteros en el compilador de expresiones regulares de CI/CD. Bajo determinadas condiciones, un usuario no autenticado podía provocar ejecución remota de código en el servidor mediante una expresión regular especialmente construida en una configuración de CI/CD. GitLab le asignó CVSS 10.0, pero la decisión urgente debe basarse en la combinación de exposición, producto afectado y explotación activa, no en el número aislado.
Productos y versiones afectadas
La vulnerabilidad afecta a instalaciones self-managed de GitLab CE y EE en estas ramas: versiones 19.2 anteriores a 19.2.8, versiones 19.3 anteriores a 19.3.5 y versiones 19.4 anteriores a 19.4.2. GitLab.com ya estaba ejecutando una versión corregida y los tenants de GitLab Dedicated fueron parcheados antes de la publicación del aviso.
La ficha de GitLab se refiere a CVE-2026-97229 dentro del parche crítico publicado el 12 de octubre. El registro CVE confirma el alcance de producto y la condición de ejecución sin autenticación. El Centro Canadiense de Ciberseguridad actualizó su aviso el 29 de octubre para reflejar la incorporación al catálogo KEV de CISA.