El 21 de octubre de 2026, GitLab lanzó las versiones 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 y 18.11.13 para GitLab Community Edition (CE) y Enterprise Edition (EE). Estas versiones contienen correcciones importantes de errores y de seguridad, y GitLab recomienda encarecidamente que todas las instalaciones de GitLab autogestionadas se actualicen de inmediato a una de estas versiones. GitLab.com ya ejecuta la versión parcheada. Los clientes de GitLab Dedicated que ejecutan 19.3.5-internal0 y 19.4.2-internal0 o posteriores ya incluyen estas correcciones y no necesitan tomar ninguna medida.
GitLab publica correcciones de vulnerabilidades en versiones de parche de dos tipos: versiones programadas, que se publican dos veces al mes, el segundo y el cuarto miércoles, y parches críticos urgentes para vulnerabilidades de alta gravedad. Los problemas de seguridad se hacen públicos en el rastreador de incidencias 90 días después de la versión en la que se parchearon. GitLab afirma estar comprometido con los más altos estándares de seguridad para todos los aspectos de la plataforma expuestos a los clientes o que alojan datos de clientes.
La corrección más grave aborda CVE-2026-110264, un desbordamiento de enteros en el compilador de expresiones regulares. En determinadas condiciones, podría permitir que un usuario no autenticado ejecutara código arbitrario en el servidor de GitLab. Tiene una puntuación CVSS de 10.0 y fue notificada a través del programa de recompensas por errores de HackerOne. La corrección se trasladó a las versiones 18.11.13, 19.0.10, 19.1.9 y 19.2.9.
Otra corrección, CVE-2026-15723, aborda un problema de autenticación inadecuada. Cuando la vinculación automática de OmniAuth SAML y LDAP estaban habilitadas, un usuario autenticado podía apropiarse de una cuenta existente respaldada por LDAP sin ninguna interacción del objetivo, con una puntuación CVSS de 8.2. Las versiones afectadas abarcan desde la 10.1 hasta la 19.5 anteriores a las versiones parcheadas. GitLab también publicó dos detecciones de amenazas para instancias autogestionadas para ayudar a identificar intentos de explotación. La infraestructura gestionada por GitLab, incluidos GitLab.com y GitLab Dedicated, permanece parcheada.
Fuente: Hacker News · Resumido por HeadlinesBriefing