CISA añadió CVE-2026-97229 de GitLab al catálogo KEV

CISA añadió CVE-2026-97229 al catálogo de vulnerabilidades explotadas conocidas (KEV) el 29 de octubre de 2026, citando indicios de explotación activa. Para saber qué corregir, quienes administran GitLab deben comprobar la versión de su rama y, si usan un Ruby instalado por separado, revisar también ese entorno de ejecución. CISA

GitLab describe el fallo como un desbordamiento de enteros en el compilador de expresiones regulares de CI/CD. En determinadas condiciones, una expresión manipulada podría permitir que una persona sin autenticar ejecutara código arbitrario en el servidor. GitLab asignó a la vulnerabilidad una puntuación CVSS 3.1 de 10,0. GitLab

Versiones de GitLab afectadas y corregidas

GitLab identifica las versiones afectadas de Community Edition y Enterprise Edition (CE/EE) por rama. Las correcciones corresponden a versiones concretas, no a un único número común para todas:

GitLab publicó esas versiones el 12 de octubre de 2026 y recomendó actualizar las instalaciones autogestionadas afectadas. En su aviso, indicó que GitLab.com ya ejecutaba una versión corregida y que los clientes de GitLab Dedicated habían recibido el parche antes de publicarse el aviso. GitLab

Cuándo también hay que actualizar Ruby

Una actualización de GitLab puede no corregir el fallo si la instalación utiliza un Ruby suministrado por separado. Alpine Linux explicó que el parche de GitLab modificaba Ruby incluido en los paquetes e imágenes oficiales; su propia imagen empleaba un Ruby independiente. Por eso, actualizar GitLab a la versión 19.3.6 el 22 de octubre no corrigió ese entorno. Alpine Linux

Para las instalaciones que usan su propio Ruby, Alpine señaló como versiones corregidas Ruby 3.3.13, 3.4.12 o 4.0.9 y posteriores. También informó de que su imagen del 27 de octubre ya incluía Ruby 3.3.13, mientras que las imágenes anteriores a esa fecha y las etiquetas más antiguas seguían expuestas al fallo. En despliegues de código fuente o imágenes personalizadas, por tanto, hay que revisar tanto la versión de GitLab como el Ruby que realmente ejecuta la aplicación.

Qué ocurrió en la instancia de Alpine Linux

Alpine situó el intento de explotación contra su instancia de GitLab entre el 20 y el 21 de octubre, cuando ejecutaba la versión 19.3.4, dentro del rango afectado. Según su relato, los procesos de trabajo de GitLab se bloquearon ocho veces; en cuatro ocasiones, el atacante llegó a una fase intermedia del intento antes de que fallara el paso siguiente.

Alpine dijo que no encontró pruebas de ejecución de código, pero que no podía descartarla. La organización reconstruyó su instancia y afirmó que sus comprobaciones no detectaron alteraciones en el repositorio aports, los paquetes ni las versiones publicadas el 21 de octubre. Esos resultados se refieren a las comprobaciones de Alpine sobre su propia infraestructura. La organización dijo que su servicio volvió a abrir el 29 de octubre con GitLab 19.3.7. Alpine Linux

La inclusión de CISA en KEV se basó en indicios de explotación activa; el relato de Alpine describe un intento contra una instancia concreta y no confirma que allí se ejecutara código. Son hechos distintos: la inclusión señala el riesgo reconocido por CISA, mientras que Alpine expuso la incertidumbre sobre el resultado de su propio incidente.

A quién se aplica BOD 26-04

CISA indicó que la directiva BOD 26-04 se aplica a las agencias de la rama ejecutiva civil federal de Estados Unidos (FCEB). La agencia también anima a las demás organizaciones a dar prioridad a las vulnerabilidades incluidas en KEV. La directiva federal no amplía sus requisitos obligatorios a esas otras organizaciones. CISA