Rapid7 convierte el fallo 10,0 de GitLab en una demostración en directo de su producto, tres semanas antes de presentar resultados

Una expresión regular que se cuela entre los controles

GitLab▼−5.70% — GitLab, down 5.70 percent today publicó el 12 de octubre un parche de emergencia↗, una actualización de seguridad al margen de su calendario mensual habitual, para la vulnerabilidad CVE-2026-97229: un desbordamiento de enteros al que asignó una gravedad de 10,0, el máximo de la escala de gravedad CVSS ¹². El fallo reside en el compilador de expresiones regulares que usan las configuraciones de CI/CD (integración y entrega continuas), los procesos que construyen y despliegan el software, y afecta a las ediciones Community y Enterprise autoadministradas. Fue una de las 24 vulnerabilidades corregidas ese día, y llegó a GitLab a través de un informe de recompensas en HackerOne presentado por un investigador que firma como joaxcar ²³.

Un día después, Rapid7▼−3.59% — Rapid7, down 3.59 percent today dijo haber reproducido la cadena completa en la imagen oficial 19.4.1 de la Community Edition, sin parchear y con la aleatorización del espacio de direcciones activada↗; la misma entrada falló contra la versión parcheada, la 19.4.2 ¹. La vía de entrada funciona en dos fases: una expresión regular manipulada en el archivo de pipeline .gitlab-ci.yml supera la validación de GitLab y después se recompila contra una ruta de repositorio que contiene caracteres UTF-8, donde un desbordamiento de enteros en el motor Onigmo de Ruby entrega al atacante el control del proceso.

Del parche al exploit funcional en 24 horas

A partir de ahí, los comandos del sistema operativo se ejecutan como el usuario git, la cuenta de servicio con la que corre la aplicación de GitLab ¹. Una prueba de concepto pública↗ convierte 248 caracteres en más de 2 GB de código de motor y alcanza system() ⁴. GitLab cataloga el fallo como explotable sin autenticación alguna; aun así, la reproducción de Rapid7 necesitaba primero una forma de plantar ese archivo de configuración, una barrera que desaparece en cualquier instancia que permita a cualquiera registrarse y abrir un proyecto público ¹.

Los servidores autoadministrados guardan código fuente y credenciales de la nube

Lo que hay detrás de esos servidores explica por qué un 10,0 aquí atrae a los atacantes de inmediato: el código fuente de una organización, sus procesos de construcción y las credenciales que esos procesos usan para acceder a las cuentas en la nube, en palabras de Roman Y. Sannikov, coordinador global de investigación de iCounter ⁵. GitLab cuenta entre sus clientes con más de la mitad de las empresas del Fortune 100 ³.

Es la segunda vulnerabilidad de gravedad máxima de GitLab en dos meses. El fallo de septiembre, un salto de directorios (path traversal) catalogado como CVE-2026-85706, entró en el catálogo de vulnerabilidades explotadas que mantiene CISA, la agencia estadounidense de ciberseguridad, un día después de que GitLab lo parcheara, y los investigadores de watchTowr ya registraban sondeos ³⁶. «Los equipos deben asumir que la ventana entre la divulgación y la explotación se mide en días, no en semanas», dijo Sannikov ⁵. Hasta el 13 de octubre no se había confirmado ninguna explotación del nuevo fallo ¹.

Detección el mismo día: primer estreno en producto de la nueva unidad

El negocio está en el calendario. Rapid7 Intelligence, la unidad lanzada el 2 de octubre↗ para llevar la investigación de vulnerabilidades directamente a los productos de pago, incorporó una comprobación autenticada de detección de este fallo a sus productos Exposure Command, Vulnerability Management y Nexpose en la misma actualización de contenido del 13 de octubre ¹⁷. Para los clientes de pago, ese es el argumento de lanzamiento hecho código en producción: la investigación llega a producto en menos de un día desde que el fallo se hace público.

La casa matriz, que cotiza en el Nasdaq, necesita esa demostración. Los ingresos cayeron un 1,5% interanual en el trimestre cerrado en junio↗, su segunda caída consecutiva, y JPMorgan rebajó la acción a infraponderar en septiembre, con un objetivo de precio de 12 dólares ⁸⁹. Los resultados del tercer trimestre llegan el 4 de noviembre↗ ⁸.

GitLab crece un 21% mientras Rapid7 se contrae

GitLab (Nasdaq: GTLB) crece y, a la vez, está expuesto: los ingresos subieron un 21,3%, hasta 286,3 millones de dólares, en el trimestre cerrado en julio↗, con una pérdida neta de 36,8 millones ¹⁰. GitLab.com ya está parcheado y los clientes de Dedicated, su oferta alojada de inquilino único, no tienen que hacer nada, de modo que el daño directo cae en los servidores de los clientes, no en las cuentas del proveedor ¹.

Actualizar ya y vigilar dos fechas

Las versiones objetivo del parche son concretas: 19.2.8, 19.3.5 y 19.4.2, que deben instalarse ya, y no en el próximo ciclo mensual ¹. Cuando la actualización tenga que esperar, GitLab aconseja restringir el acceso anónimo a los proyectos públicos e impedir que los usuarios no fiables los creen ¹. En cualquier instancia que haya permanecido sin parchear durante la ventana de divulgación, el consejo de Sannikov es rotar los secretos y los tokens de CI/CD y revisar la actividad de los runners y de los pipelines desde la divulgación ⁵.

Dos señales dirán cómo termina esto. Una es saber si la CVE-2026-97229 sigue los pasos de su hermana de septiembre y entra en el catálogo de vulnerabilidades explotadas de la CISA ³⁶. La otra es el 4 de noviembre, cuando Rapid7 presente los resultados del tercer trimestre y tenga que decir si Intelligence ya se deja notar en la adopción de los productos de pago ⁸. Hasta entonces, la exposición queda en manos de quien gestione una instancia autoadministrada olvidada.