[{"data":1,"prerenderedAt":-1},["ShallowReactive",2],{"blog-/blog/noticias/gitlab-cve-2026-97229-cicd-rce-critica":3,"prev-/blog/noticias/gitlab-cve-2026-97229-cicd-rce-critica":515,"next-/blog/noticias/gitlab-cve-2026-97229-cicd-rce-critica":493,"related-/blog/noticias/gitlab-cve-2026-97229-cicd-rce-critica":518,"author-Diego Herrera":538},{"id":4,"title":5,"author":6,"authorUrl":7,"body":8,"category":471,"cta":472,"date":476,"dateModified":476,"description":477,"draft":478,"extension":479,"faq":480,"featured":478,"howto":493,"image":494,"imageAlt":495,"intent":496,"keywords":497,"meta":502,"navigation":503,"path":504,"publishedTime":505,"readingTime":506,"seo":507,"seoTitle":508,"stem":509,"tags":510,"__hash__":514},"blog/blog/noticias/gitlab-cve-2026-97229-cicd-rce-critica.md","GitLab corrige CVE-2026-97229, falla de 10 sobre 10 en CI/CD: quien tenga servidor propio debe actualizar hoy","Diego Herrera","/autores/diego-herrera",{"type":9,"value":10,"toc":456},"minimark",[11,41,54,59,150,172,177,227,241,244,248,268,275,279,312,316,320,398,402,409,422,426,438,451],[12,13,14,15,19,20,23,24,27,28,31,32,36,37,40],"p",{},"GitLab publicó este ",[16,17,18],"strong",{},"lunes 12 de octubre de 2026"," las versiones ",[16,21,22],{},"19.4.2, 19.3.5 y 19.2.8"," de GitLab Community Edition (CE) y Enterprise Edition (EE). La razón principal es ",[16,25,26],{},"CVE-2026-97229",", una falla con la ",[16,29,30],{},"calificación máxima de 10.0"," que, según el aviso del fabricante, ",[33,34,35],"em",{},"\"podría haber permitido a un usuario no autenticado ejecutar código arbitrario en el servidor de GitLab\"",". El aviso pide que ",[16,38,39],{},"todas las instalaciones autoadministradas se actualicen de inmediato",".",[12,42,43,44,49,50,53],{},"Es el segundo aviso crítico de GitLab en diez días. El 2 de octubre fue el turno del ",[45,46,48],"a",{"href":47},"/blog/noticias/gitlab-ai-gateway-cve-2026-90970-autohospedado","AI Gateway autohospedado con CVE-2026-90970",", que solo tocaba a quien usaba la IA de Duo en servidores propios. ",[16,51,52],{},"Esta vez el problema está en el núcleo de GitLab",", así que afecta a prácticamente cualquier servidor propio en esas ramas.",[55,56,58],"h2",{"id":57},"qué-se-sabe","Qué se sabe",[60,61,62,75],"table",{},[63,64,65],"thead",{},[66,67,68,72],"tr",{},[69,70,71],"th",{},"Dato",[69,73,74],{},"Detalle",[76,77,78,86,94,102,110,118,126,134,142],"tbody",{},[66,79,80,84],{},[81,82,83],"td",{},"Vulnerabilidad",[81,85,26],{},[66,87,88,91],{},[81,89,90],{},"Calificación",[81,92,93],{},"10.0 (CVSS), crítica",[66,95,96,99],{},[81,97,98],{},"Tipo",[81,100,101],{},"Desbordamiento de enteros en el compilador de expresiones regulares de CI/CD",[66,103,104,107],{},[81,105,106],{},"Impacto",[81,108,109],{},"Ejecución de código en el servidor, sin autenticarse",[66,111,112,115],{},[81,113,114],{},"Productos",[81,116,117],{},"GitLab CE y EE autoadministrados",[66,119,120,123],{},[81,121,122],{},"Versiones corregidas",[81,124,125],{},"19.4.2, 19.3.5 y 19.2.8 (12 oct 2026)",[66,127,128,131],{},[81,129,130],{},"GitLab.com y Dedicated",[81,132,133],{},"Ya corregidos; no requieren acción",[66,135,136,139],{},[81,137,138],{},"Explotación",[81,140,141],{},"Sin reportes al publicar; no estaba en el catálogo KEV de la CISA el 12 de octubre",[66,143,144,147],{},[81,145,146],{},"Descubrimiento",[81,148,149],{},"Investigador joaxcar, vía el programa de recompensas de GitLab en HackerOne",[12,151,152,153,156,157,160,161,164,165,168,169,40],{},"El paquete corrige ",[16,154,155],{},"24 vulnerabilidades"," en total, cinco de ellas altas: entre otras, una que permite ",[16,158,159],{},"correr pipelines en ramas protegidas"," sin autorización (8.5), un envenenamiento de caché que puede ",[16,162,163],{},"exponer variables de CI/CD"," (8.2) y una ",[16,166,167],{},"inyección de instrucciones en Duo Agent Platform"," (7.3). Varias medias permiten ",[16,170,171],{},"leer contenido de proyectos privados sin iniciar sesión",[173,174,176],"h3",{"id":175},"qué-versiones-están-afectadas","Qué versiones están afectadas",[60,178,179,192],{},[63,180,181],{},[66,182,183,186,189],{},[69,184,185],{},"Rama",[69,187,188],{},"Vulnerable",[69,190,191],{},"Instala",[76,193,194,205,216],{},[66,195,196,199,202],{},[81,197,198],{},"19.4",[81,200,201],{},"Anteriores a 19.4.2",[81,203,204],{},"19.4.2",[66,206,207,210,213],{},[81,208,209],{},"19.3",[81,211,212],{},"Anteriores a 19.3.5",[81,214,215],{},"19.3.5",[66,217,218,221,224],{},[81,219,220],{},"19.2",[81,222,223],{},"Anteriores a 19.2.8",[81,225,226],{},"19.2.8",[12,228,229,230,233,234,236,237,240],{},"Ojo: algunos reportes citan ",[16,231,232],{},"19.3.4",". GitLab la reemplazó por ",[16,235,215],{}," porque traía un error en las páginas de merge requests; si ya la instalaste, sube a 19.3.5. Y si estás en una rama ",[16,238,239],{},"anterior a 19.2",", no hay parche: toca migrar a una rama soportada.",[242,243],"ad-banner",{},[55,245,247],{"id":246},"por-qué-actualizar-hoy-si-nadie-la-explota-todavía","¿Por qué actualizar hoy si nadie la explota todavía?",[12,249,250,251,254,255,258,259,263,264,267],{},"Por el historial reciente de GitLab. En septiembre, ",[16,252,253],{},"CVE-2026-85706"," (también de 10, lectura de archivos sin autenticarse) entró al catálogo de vulnerabilidades explotadas de la CISA ",[16,256,257],{},"un día después de su parche",", como contamos en el ",[45,260,262],{"href":261},"/blog/noticias/patch-tuesday-septiembre-2026-record","resumen de parches de septiembre",". Según Cybersecurity Dive, los atacantes han usado ",[16,265,266],{},"al menos cinco vulnerabilidades de GitLab"," desde 2021.",[12,269,270,271,274],{},"Hay otra razón práctica: un servidor de GitLab no guarda solo código. Ahí viven las ",[16,272,273],{},"variables de CI/CD con contraseñas de bases de datos, llaves de la nube, tokens de despliegue y credenciales del PAC o del ERP"," que usan los pipelines. Quien ejecuta código en ese servidor tiene, de paso, acceso a todo lo que el servidor puede tocar.",[55,276,278],{"id":277},"a-quién-le-afecta-en-méxico","A quién le afecta en México",[280,281,282,289,295,301],"ul",{},[283,284,285,288],"li",{},[16,286,287],{},"Casas de software y equipos de desarrollo"," que tienen GitLab en un servidor propio, una VM en la nube o un VPS.",[283,290,291,294],{},[16,292,293],{},"Empresas con desarrollo interno"," (integraciones con el ERP, timbrado, portales de clientes, apps) que montaron GitLab hace años y lo dejaron \"funcionando\".",[283,296,297,300],{},[16,298,299],{},"Proveedores de software a la medida",": tu código y tus credenciales pueden estar en su GitLab.",[283,302,303,304,307,308,311],{},"Quien usa ",[16,305,306],{},"GitLab.com"," en la nube está cubierto, pero debe revisar sus ",[16,309,310],{},"Runners propios"," por separado: se actualizan aparte del servidor.",[55,313,315],{"id":314},"qué-hacer-hoy","Qué hacer hoy",[173,317,319],{"id":318},"si-administras-tu-propio-gitlab","Si administras tu propio GitLab",[321,322,323,341,364,374,380,386,392],"ol",{},[283,324,325,328,329,332,333,337,338,40],{},[16,326,327],{},"Revisa la versión."," En la interfaz, en ",[33,330,331],{},"Admin → Overview → Dashboard"," (o en ",[334,335,336],"code",{},"/help","), o en el servidor con ",[334,339,340],{},"sudo gitlab-rake gitlab:env:info",[283,342,343,346,347,350,351,354,355,358,359,363],{},[16,344,345],{},"Respalda antes de actualizar."," Corre ",[334,348,349],{},"sudo gitlab-backup create"," y copia aparte ",[334,352,353],{},"/etc/gitlab/gitlab-secrets.json"," y ",[334,356,357],{},"gitlab.rb","; sin ese archivo de secretos el respaldo sirve de poco. Si no tienes una política de respaldos clara, la ",[45,360,362],{"href":361},"/blog/recurso/template-politica-respaldos-empresa","plantilla de política de respaldos"," es un buen punto de partida.",[283,365,366,369,370,373],{},[16,367,368],{},"Planea una ventana corta para hoy."," El parche incluye ",[16,371,372],{},"migraciones de base de datos",": en una instalación de un solo nodo habrá una interrupción mientras terminan.",[283,375,376,379],{},[16,377,378],{},"Actualiza a 19.4.2, 19.3.5 o 19.2.8"," según tu rama. Si estás varias versiones atrás, sigue la ruta de actualización oficial de GitLab; saltar versiones mayores rompe instalaciones.",[283,381,382,385],{},[16,383,384],{},"Si no puedes actualizar hoy, reduce la exposición."," Deja GitLab accesible solo por VPN o por direcciones IP conocidas, y desactiva el registro abierto de usuarios.",[283,387,388,391],{},[16,389,390],{},"Revisa señales raras"," de los últimos días: usuarios o tokens nuevos que nadie pidió, pipelines que se ejecutaron fuera de horario, cambios en variables de CI/CD y procesos desconocidos en el servidor.",[283,393,394,397],{},[16,395,396],{},"Rota los secretos más sensibles"," si el servidor estuvo expuesto a internet sin parche: llaves de nube, credenciales de producción y tokens de despliegue.",[173,399,401],{"id":400},"si-un-proveedor-administra-tu-código","Si un proveedor administra tu código",[12,403,404,405,408],{},"Pregúntale hoy por escrito: ",[16,406,407],{},"¿usan GitLab propio para nuestros proyectos? ¿Ya está en 19.4.2, 19.3.5 o 19.2.8? ¿Dónde guardan nuestras credenciales de producción?"," Pide versión y fecha, no un \"ya quedó\".",[410,411,414],"callout",{"icon":412,"title":413},"i-lucide-shield-alert","El servidor de desarrollo también es producción",[12,415,416,417,421],{},"En muchas PyMEs el GitLab lo instaló un desarrollador que ya no está y nadie recibe sus avisos de seguridad. El primer paso no es técnico: asignarle un responsable con nombre. El ",[45,418,420],{"href":419},"/blog/guia-empresarial/mes-ciberseguridad-plan-4-semanas","plan de ciberseguridad de 4 semanas"," empieza justamente por ese inventario de equipos y servicios expuestos.",[55,423,425],{"id":424},"la-lección-de-fondo","La lección de fondo",[12,427,428,429,432,433,437],{},"Dos avisos críticos en diez días no son motivo para abandonar GitLab, sino para que actualizarlo sea ",[16,430,431],{},"rutina",": respaldo, ventana conocida, actualización y prueba de un pipeline. Si tus pipelines dependen de pasos manuales, la ",[45,434,436],{"href":435},"/blog/tutorial/cicd-gitlab-guia-practica","guía práctica de CI/CD con GitLab"," ayuda a ordenarlos.",[12,439,440,441,445,446,450],{},"Si quieres que revisemos tu servidor de GitLab, tus Runners y dónde están guardadas tus credenciales, nuestro equipo de ",[45,442,444],{"href":443},"/servicios/desarrollo-software","desarrollo de software"," y de ",[45,447,449],{"href":448},"/servicios/ciberseguridad","ciberseguridad"," puede hacerlo contigo.",[12,452,453],{},[33,454,455],{},"Fuentes: aviso GitLab Critical Patch Release 19.4.2, 19.3.5, 19.2.8 (12 de octubre de 2026); Cybersecurity Dive (12 de octubre de 2026).",{"title":457,"searchDepth":458,"depth":459,"links":460},"",2,3,[461,464,465,466,470],{"id":57,"depth":458,"text":58,"children":462},[463],{"id":175,"depth":459,"text":176},{"id":246,"depth":458,"text":247},{"id":277,"depth":458,"text":278},{"id":314,"depth":458,"text":315,"children":467},[468,469],{"id":318,"depth":459,"text":319},{"id":400,"depth":459,"text":401},{"id":424,"depth":458,"text":425},"noticias",{"title":473,"description":474,"label":475,"to":448,"icon":412},"¿Tu GitLab tiene quién lo actualice?","Revisamos servidores de desarrollo, repositorios y pipelines: versiones, exposición a internet, respaldos y tokens. Te dejamos un procedimiento de actualización probado para que el siguiente parche crítico se instale el mismo día.","Ver servicio de ciberseguridad","2026-10-12","GitLab publicó el 12 de octubre 19.4.2, 19.3.5 y 19.2.8 para corregir CVE-2026-97229 (CVSS 10), ejecución de código sin contraseña en servidores propios.",false,"md",[481,484,487,490],{"question":482,"answer":483},"¿Qué es CVE-2026-97229?","Un desbordamiento de enteros en el compilador de expresiones regulares que GitLab usa para la configuración de CI/CD. Con una expresión regular manipulada, una persona sin usuario ni contraseña podría ejecutar código en el servidor de GitLab. Tiene la calificación máxima: 10.0 en CVSS. Afecta a GitLab Community Edition y Enterprise Edition instalados en servidores propios.",{"question":485,"answer":486},"¿Qué versiones tengo que instalar?","GitLab 19.4.2, 19.3.5 o 19.2.8, según la rama que uses. Están afectadas las versiones desde 19.2 anteriores a 19.2.8, desde 19.3 anteriores a 19.3.5 y desde 19.4 anteriores a 19.4.2. Algunos medios citan 19.3.4 como versión corregida; GitLab la sustituyó por 19.3.5 porque la 19.3.4 traía un error en las páginas de merge requests.",{"question":488,"answer":489},"Uso GitLab.com en la nube, ¿tengo que hacer algo?","No. GitLab dice que GitLab.com ya corre la versión corregida y que los clientes de GitLab Dedicated no necesitan hacer nada. Sí conviene revisar tus GitLab Runners propios y cualquier instancia de pruebas que alguien haya montado aparte.",{"question":491,"answer":492},"¿Ya la están explotando?","Al publicar el parche, GitLab no dijo que hubiera ataques, y la mañana del lunes 12 de octubre la CISA no la tenía en su catálogo de vulnerabilidades explotadas. Pero en septiembre otra falla crítica de GitLab entró a ese catálogo un día después de su parche, así que conviene actuar como si ya hubiera ataques.",null,"/images/blog/noticias/gitlab-cve-2026-97229-cicd-rce-critica.jpg","Servidor en un rack con una terminal mostrando la actualización pendiente de GitLab","informational",[498,499,500,501],"cve-2026-97229","gitlab 19.4.2","gitlab critical patch release octubre 2026","gitlab ci/cd regex vulnerabilidad",{},true,"/blog/noticias/gitlab-cve-2026-97229-cicd-rce-critica","2026-10-12T15:30:00-06:00",5,{"title":5,"description":477},"GitLab CVE-2026-97229 (CVSS 10): actualiza tu servidor","blog/noticias/gitlab-cve-2026-97229-cicd-rce-critica",[449,511,512,513],"vulnerabilidades","desarrollo","gitlab","mmKrbhAYy2RKCddCM2-nbRgWgcILNeTYzjn-jfqIn6g",{"path":516,"title":517},"/blog/noticias/secure-boot-certificado-pca-2011-vence-19-octubre","El 19 de octubre vence el último certificado de Secure Boot de 2011: cómo saber si tus equipos ya cambiaron",[519,525,532],{"path":520,"title":521,"description":522,"date":476,"category":471,"image":523,"imageAlt":524,"readingTime":506},"/blog/noticias/sat-69b-listas-9-octubre-revisar-proveedores","El SAT publicó tres listas del 69-B el 9 de octubre: revisa hoy si alguno de tus proveedores aparece","El SAT publicó en el DOF del 9 de octubre 76 presuntos y 120 definitivos del 69-B. Si les compraste, tienes 30 días para probar la operación o corregir.","/images/blog/noticias/sat-69b-listas-9-octubre-revisar-proveedores.jpg","Contadora comparando en la pantalla la lista de RFC de proveedores contra un listado del SAT",{"path":526,"title":527,"description":528,"date":476,"category":471,"image":529,"imageAlt":530,"readingTime":531},"/blog/noticias/registro-lineas-celulares-empresas-15-octubre","Registro de celulares: las líneas que terminan en 4 vencen el jueves 15 y las de la empresa no se salvan solas","Las líneas con terminación 4 deben registrarse a más tardar el 15 de octubre y las de 5 el 31. Qué piden a las empresas y qué SIM se suelen olvidar.","/images/blog/noticias/registro-lineas-celulares-empresas-15-octubre.jpg","Escritorio de oficina con varios teléfonos celulares de la empresa, una terminal de cobro y un calendario marcado en octubre",6,{"path":533,"title":534,"description":535,"date":476,"category":471,"image":536,"imageAlt":537,"readingTime":531},"/blog/noticias/gpts-personalizados-se-retiran-11-diciembre","Los GPTs personalizados de ChatGPT dejan de funcionar el 11 de diciembre: faltan 60 días para migrarlos","OpenAI retira los GPTs personalizados de ChatGPT el 11 de diciembre de 2026 y los cambia por plugins. Qué se migra solo, qué hay que rehacer y cómo empezar.","/images/blog/noticias/gpts-personalizados-se-retiran-11-diciembre.jpg","Pantalla de computadora con un asistente de IA y una lista de asistentes personalizados marcados para migración",{"id":539,"avatar":493,"bio":540,"entityType":541,"expertise":542,"extension":543,"meta":544,"name":6,"role":545,"slug":546,"social":493,"stem":547,"url":7,"__hash__":548},"authors/authors/diego-herrera.yml","Ingeniero en ciberseguridad e infraestructura IT. Protege la operación de empresas mexicanas contra amenazas y caídas de servicio.","Person","Diego lidera los proyectos de ciberseguridad e infraestructura de Syswork México. Ha ejecutado auditorías de seguridad, hardening de servidores, despliegues de redes y planes de continuidad para empresas en sectores críticos. Escribe sobre seguridad, servidores, cloud y redes con un enfoque defensivo y orientado a riesgos reales del negocio.","yml",{},"Especialista en Ciberseguridad e Infraestructura","diego-herrera","authors/diego-herrera","vrWQ35_ItOQjxvsvvG7wu5-wWk5ytSOlz-Ij9viIvzM"]