ESTOY BAJO UN CIBER ATAQUE

Alerta

Logo de GitLab

Alerta 2026-155 Desbordamiento de heap en Git permite ejecutar comandos en Gitaly

Producto(s) afectado(s): 

ProductoVersiones afectadasCorregida en
GitLab Community Edition y Enterprise Edition (autogestionado)Todas las versiones desde 16.2 antes de 19.3.8, 19.4 antes de 19.4.6 y 19.5 antes de 19.5.419.3.8, 19.4.6 y 19.5.4
GitLab.com y GitLab DedicatedYa corren una versión parcheadaSin acción del cliente

Hoy solo hay parches en las ramas 19.3, 19.4 y 19.5; quien esté en 16.2 a 19.2 debe seguir la ruta de actualización del fabricante hasta una rama soportada ya parcheada.

Descripción

Se han publicado las actualizaciones de seguridad 19.5.4, 19.4.6 y 19.3.8 de GitLab Community Edition y Enterprise Edition, que corrigen CVE-2026-105437, un desbordamiento de búfer en el heap del Git que la plataforma incluye. El aviso de producto, del 10/11/2026, la etiqueta como crítica: en GitLab, en ciertas condiciones, esa falla puede usarse para ejecutar comandos arbitrarios en el entorno de Gitaly. El registro CVE, emitido por el propio fabricante, la puntúa con CVSS 3.1 7.5, alta; al cierre, ese puntaje es el que reproducen los catálogos públicos, sin una evaluación independiente adicional.

El problema está en el código de fusión a tres bandas de Git. En GitLab se corrige actualizando el Git incluido. Un escenario típico es que alguien con permiso para hacer push y abrir un merge request dispare el desbordamiento cuando el servidor comprueba si las ramas se pueden fusionar, sin que otra persona tenga que intervenir. Están afectadas las instalaciones autogestionadas de CE/EE desde la 16.2 hasta antes de 19.3.8, 19.4.6 y 19.5.4, en los tipos de despliegue habituales. GitLab.com y GitLab Dedicated ya están parcheados y no requieren acción.

En instalaciones compiladas por el usuario, los paquetes oficiales de Linux y las imágenes de contenedor ya traen el Git parcheado, pero hay que reconstruir los binarios de Git embebidos en Gitaly y también el Git al que apunta la configuración. Si ese Git viene del paquete de la distribución, subir a 2.56.1 o posterior, o a una versión que la distribución haya parcheado para esta CVE. Si no se puede actualizar de inmediato, el registro CVE —no la página de parche del 10/11/2026— describe una mitigación temporal: añadir «* conflict-marker-size=7» en el archivo info/attributes de cada repositorio, o desactivar las comprobaciones de fusionabilidad en el servidor para repositorios no confiables. No sustituye al parche.

No se identificó explotación conocida ni una prueba de concepto pública de CVE-2026-105437. El aviso de GitLab no la reporta, y la falla no figura, al 10/11/2026, en catálogos de vulnerabilidades explotadas conocidas. Esta CVE es distinta de las dos críticas de octubre (CVE-2026-97229 y CVE-2026-110264), cubiertas en alertas anteriores: los parches de esos avisos no corrigen esta, y hace falta quedar en 19.5.4, 19.4.6 o 19.3.8. Las versiones 19.5.1 y 19.5.3 no alcanzan para esta falla. El fabricante declaró antes que no existen las versiones 19.5.2 ni 19.4.4.

Mitigación

Se recomienda inventariar las instancias autogestionadas de GitLab CE/EE y su versión. GitLab.com y GitLab Dedicated no requieren acción. Actualizar a 19.5.4, 19.4.6 o 19.3.8, según la rama. Si la instancia está en 19.2 o anterior, dentro del rango que empieza en 16.2, seguir la ruta de actualización del fabricante hasta una rama soportada ya parcheada; no hay un 19.2.x en el lote de hoy.

En instalaciones compiladas por el usuario, reconstruir el Git de Gitaly y el referenciado por la configuración, o actualizar el Git de la distribución a 2.56.1 o a la versión parcheada por la distribución. Si no se puede actualizar de inmediato, aplicar la mitigación temporal descrita en el registro CVE (conflict-marker-size=7 en info/attributes de cada repositorio, o desactivar las comprobaciones de fusionabilidad para repositorios no confiables). No es un sustituto del parche.

El fabricante no publicó indicadores de compromiso para esta CVE. No reutilizar como si fueran de esta falla los indicadores de avisos anteriores. El parche no deshace un compromiso previo.

Parches de seguridad de GitLab en semanas recientes

Este aviso no sustituye a los de octubre: una instancia puede necesitar haber aplicado aquellos parches y, además, llegar a 19.5.4, 19.4.6 o 19.3.8. La tabla resume los lanzamientos de seguridad confirmados en las páginas de parche del fabricante, de octubre a hoy.

FechaVersionesQué cubre
02/10/2026AI Gateway 19.4.1CVE-2026-90970, ejecución de comandos en el AI Gateway. Las pasarelas alojadas por el fabricante ya estaban corregidas. No es un parche de GitLab CE/EE.
12/10/2026CE/EE 19.4.2, 19.3.5 y 19.2.8CVE-2026-97229, crítica, CVSS 10.0, ejecución remota de código en CI/CD (alerta 2026-131). El lote incluye otras fallas.
21/10/2026CE/EE 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 y 18.11.13CVE-2026-110264, crítica, CVSS 10.0, ejecución remota de código sin autenticación (alerta 2026-118). Los parches del 12/10 no la corrigen.
29/10/2026CE/EE 19.5.3, 19.4.5, 19.3.7, 19.2.10, 19.1.10, 19.0.11 y 18.11.14CVE-2026-111943: deja de confiar en certificados intermedios comprometidos. Hay que actualizar también Runner 19.5.1 y, si se usa, el AI Gateway autoalojado. El aviso declara que no existen 19.5.2 ni 19.4.4.
10/11/2026CE/EE 19.5.4, 19.4.6 y 19.3.8CVE-2026-105437 (este aviso). Las versiones 19.5.1 y 19.5.3 no la cierran.

Las alertas anteriores sobre GitLab, y los avisos de parche del fabricante, figuran a continuación y en Información adicional.

Alerta 2026-118 Vulnerabilidad crítica en GitLab permite RCE sin autenticación

Alerta 2026-131 Vulnerabilidad crítica en GitLab (CVE-2026-97229) permite RCE y está siendo explotada activamente

GitLab — parche 19.5.4 / 19.4.6 / 19.3.8 (10/11/2026)

GitLab — parche 19.5.3 / 19.4.5 / 19.3.7 (29/10/2026)

GitLab — parche 19.5.1 y ramas relacionadas (21/10/2026)

GitLab — parche 19.4.2 / 19.3.5 / 19.2.8 (12/10/2026)

GitLab — AI Gateway 19.4.1 (02/10/2026)

Solución

La solución consiste en actualizar las instancias autogestionadas de GitLab CE/EE a 19.5.4, 19.4.6 o 19.3.8 y, en las instalaciones compiladas por el usuario, reconstruir o actualizar también el Git de Gitaly y el referenciado por la configuración. GitLab.com y GitLab Dedicated no requieren acción.

Para info sobre cómo actualizar, visita el siguiente enlace:

https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-5-4-released/

Información adicional: