---
title: "Rapid7 convierte el fallo 10,0 de GitLab en una demostración en directo de su producto, tres semanas antes de presentar resultados"
description: "Una expresión regular de 248 caracteres puede ejecutar comandos en servidores GitLab autoadministrados sin parchear. Rapid7 reprodujo el exploit un día después del parche del 12 de octubre de GitLab y distribuyó la detección entre sus clientes de pago ese mismo día, en lo que parece el estreno público de la unidad Intelligence que puso en marcha el 2 de octubre."
publisher: "The Inference"
section: "Safety"
published: 2026-10-16T01:38:40.867Z
modified: 2026-10-16T01:38:40.867Z
canonical: https://theinference.org/article/rapid7-turns-gitlab-s-10-0-flaw-into-a-live-product-demo-three-weeks-before-earnings/es
language: es
keywords: "Cybersecurity, Vulnerabilities, GitLab, Rapid7, Earnings"
---

# Rapid7 convierte el fallo 10,0 de GitLab en una demostración en directo de su producto, tres semanas antes de presentar resultados

> Una expresión regular de 248 caracteres puede ejecutar comandos en servidores GitLab autoadministrados sin parchear. Rapid7 reprodujo el exploit un día después del parche del 12 de octubre de GitLab y distribuyó la detección entre sus clientes de pago ese mismo día, en lo que parece el estreno público de la unidad Intelligence que puso en marcha el 2 de octubre.

## Una expresión regular que se cuela entre los controles

[GitLab](https://theinference.org/markets/companies/gitlab) [publicó el 12 de octubre un parche de emergencia](https://www.bleepingcomputer.com/news/security/gitlab-warns-of-max-severity-rce-flaw-in-regex-compiler-engine/), una actualización de seguridad al margen de su calendario mensual habitual, para la vulnerabilidad CVE-2026-97229: un desbordamiento de enteros al que asignó una gravedad de 10,0, el máximo de la escala de gravedad CVSS [1][2]. El fallo reside en el compilador de expresiones regulares que usan las configuraciones de CI/CD (integración y entrega continuas), los procesos que construyen y despliegan el software, y afecta a las ediciones Community y Enterprise autoadministradas. Fue una de las 24 vulnerabilidades corregidas ese día, y llegó a GitLab a través de un informe de recompensas en HackerOne presentado por un investigador que firma como joaxcar [2][3].

Un día después, [Rapid7](https://theinference.org/markets/companies/rapid7) dijo haber [reproducido la cadena completa en la imagen oficial 19.4.1 de la Community Edition, sin parchear y con la aleatorización del espacio de direcciones activada](https://www.rapid7.com/blog/post/etr-cve-2026-97229-critical-unauthenticated-remote-code-execution-in-gitlab/); la misma entrada falló contra la versión parcheada, la 19.4.2 [1]. La vía de entrada funciona en dos fases: una expresión regular manipulada en el archivo de pipeline .gitlab-ci.yml supera la validación de GitLab y después se recompila contra una ruta de repositorio que contiene caracteres UTF-8, donde un desbordamiento de enteros en el motor Onigmo de Ruby entrega al atacante el control del proceso.

## Del parche al exploit funcional en 24 horas

A partir de ahí, los comandos del sistema operativo se ejecutan como el usuario git, la cuenta de servicio con la que corre la aplicación de GitLab [1]. [Una prueba de concepto pública](https://x.com/_CryptoCat/status/2110052018593362428) convierte 248 caracteres en más de 2 GB de código de motor y alcanza system() [4]. GitLab cataloga el fallo como explotable sin autenticación alguna; aun así, la reproducción de Rapid7 necesitaba primero una forma de plantar ese archivo de configuración, una barrera que desaparece en cualquier instancia que permita a cualquiera registrarse y abrir un proyecto público [1].

## Los servidores autoadministrados guardan código fuente y credenciales de la nube

Lo que hay detrás de esos servidores explica por qué un 10,0 aquí atrae a los atacantes de inmediato: el código fuente de una organización, sus procesos de construcción y [las credenciales que esos procesos usan para acceder a las cuentas en la nube](https://theinference.org/article/two-dozen-firms-breached-through-gitlab-stored-secrets-and-gitlab-shipped-the-cure-a-day-later), en palabras de Roman Y. Sannikov, coordinador global de investigación de iCounter [5]. GitLab cuenta entre sus clientes con más de la mitad de las empresas del Fortune 100 [3].

Es la segunda vulnerabilidad de gravedad máxima de GitLab en dos meses. El fallo de septiembre, un salto de directorios (path traversal) catalogado como CVE-2026-85706, entró en el catálogo de vulnerabilidades explotadas que mantiene CISA, la agencia estadounidense de ciberseguridad, un día después de que GitLab lo parcheara, y los investigadores de watchTowr ya registraban sondeos [3][6]. «Los equipos deben asumir que la ventana entre la divulgación y la explotación se mide en días, no en semanas», dijo Sannikov [5]. Hasta el 13 de octubre no se había confirmado ninguna explotación del nuevo fallo [1].

## Detección el mismo día: primer estreno en producto de la nueva unidad

El negocio está en el calendario. Rapid7 Intelligence, la unidad [lanzada el 2 de octubre](https://finance.yahoo.com/technology/ai/articles/rapid7-launches-rapid7-intelligence-harness-130000040.html) para llevar la investigación de vulnerabilidades directamente a los productos de pago, incorporó una comprobación autenticada de detección de este fallo a sus productos Exposure Command, Vulnerability Management y Nexpose en la misma actualización de contenido del 13 de octubre [1][7]. Para los clientes de pago, ese es el argumento de lanzamiento hecho código en producción: la investigación llega a producto en menos de un día desde que el fallo se hace público.

La casa matriz, que cotiza en el Nasdaq, necesita esa demostración. [Los ingresos cayeron un 1,5% interanual en el trimestre cerrado en junio](https://www.sec.gov/cgi-bin/browse-edgar?action=getcompany&CIK=0001560327), su segunda caída consecutiva, y JPMorgan rebajó la acción a infraponderar en septiembre, con un objetivo de precio de 12 dólares [8][9]. [Los resultados del tercer trimestre llegan el 4 de noviembre](https://www.marketscreener.com/news/rapid7-to-report-third-quarter-2026-financial-results-on-november-4-ce785dd2d181f526) [8].

*Chart: **El crecimiento de Rapid7 ha pasado del 13% a dos trimestres consecutivos de caída** Gráfico de líneas del crecimiento interanual de los ingresos de Rapid7 a lo largo de doce trimestres, desde el 13,1% en el tercer trimestre de 2023 hasta el -1,5% en el segundo de 2026, con el paso a terreno negativo en 2026.*

*Crecimiento interanual de los ingresos por trimestre natural, según las presentaciones de Rapid7 ante la SEC. El segundo trimestre de 2026 cerró en junio de 2026. [9]*

## GitLab crece un 21% mientras Rapid7 se contrae

GitLab (Nasdaq: GTLB) crece y, a la vez, está expuesto: [los ingresos subieron un 21,3%, hasta 286,3 millones de dólares, en el trimestre cerrado en julio](https://www.sec.gov/cgi-bin/browse-edgar?action=getcompany&CIK=0001653482), con una pérdida neta de 36,8 millones [10]. GitLab.com ya está parcheado y los clientes de Dedicated, su oferta alojada de inquilino único, no tienen que hacer nada, de modo que el daño directo cae en los servidores de los clientes, no en las cuentas del proveedor [1].

*Chart: **Los ingresos de GitLab han crecido más de un 20% en los doce trimestres representados** Gráfico de columnas de los ingresos trimestrales de GitLab, que suben desde los 150 millones de dólares del trimestre cerrado en octubre de 2023 hasta los 286 millones del cerrado en julio de 2026, con un crecimiento interanual superior al 20% en todo el periodo.*

*Ingresos trimestrales en millones de dólares, por trimestre natural. Los trimestres fiscales de GitLab cierran un mes más tarde que los de Rapid7: su segundo trimestre de 2026 terminó el 31 de julio de 2026, el que el texto cita en 286,3 millones de dólares, un 21,3% más. Según las presentaciones de GitLab ante la SEC. [11]*

## Actualizar ya y vigilar dos fechas

Las versiones objetivo del parche son concretas: 19.2.8, 19.3.5 y 19.4.2, que deben instalarse ya, y no en el próximo ciclo mensual [1]. Cuando la actualización tenga que esperar, GitLab aconseja restringir el acceso anónimo a los proyectos públicos e impedir que los usuarios no fiables los creen [1]. En cualquier instancia que haya permanecido sin parchear durante la ventana de divulgación, el consejo de Sannikov es rotar los secretos y los tokens de CI/CD y revisar la actividad de los runners y de los pipelines desde la divulgación [5].

Dos señales dirán cómo termina esto. Una es saber si la CVE-2026-97229 sigue los pasos de su hermana de septiembre y entra en el catálogo de vulnerabilidades explotadas de la CISA [3][6]. La otra es el 4 de noviembre, cuando Rapid7 presente los resultados del tercer trimestre y tenga que decir si Intelligence ya se deja notar en la adopción de los productos de pago [8]. Hasta entonces, la exposición queda en manos de quien gestione una instancia autoadministrada olvidada.

## Takeaway

El fallo 10,0 de las expresiones regulares de GitLab ya está parcheado, pero el riesgo persiste en los servidores autoadministrados sin actualizar; la detección publicada el mismo día por Rapid7 es la primera prueba en funcionamiento de la unidad que lanzó el 2 de octubre.

## Sources

1. [Rapid7, CVE-2026-97229: Critical Unauthenticated Remote Code Execution in GitLab, 13 October 2026](https://www.rapid7.com/blog/post/etr-cve-2026-97229-critical-unauthenticated-remote-code-execution-in-gitlab/)
2. [eSecurity Planet, GitLab Warns of CVSS 10.0 Flaw That Could Allow Server Takeover, 13 October 2026](https://www.esecurityplanet.com/news/news-gitlab-critical-server-takeover-flaw/)
3. [BleepingComputer, GitLab warns of max severity code execution vulnerability, 12 October 2026](https://www.bleepingcomputer.com/news/security/gitlab-warns-of-max-severity-rce-flaw-in-regex-compiler-engine/)
4. [@_CryptoCat on X, Rapid7 PoC for CVE-2026-97229, 13 October 2026](https://x.com/_CryptoCat/status/2110052018593362428)
5. [SC Media, GitLab patches 10.0 flaw in its CE and EE products, 14 October 2026](https://www.scworld.com/news/gitlab-patches-10-0-flaw-in-its-ce-and-ee-products)
6. [TechRadar via MSN, CISA warns hackers are exploiting this max severity GitLab flaw, 14 September 2026](https://www.msn.com/en-us/technology/cybersecurity/cisa-warns-hackers-are-exploiting-this-max-severity-gitlab-flaw/ar-AA2ccpv4)
7. [Rapid7 press release via Yahoo Finance, Rapid7 Launches Rapid7 Intelligence to Harness Threat Data Against Attackers, 2 October 2026](https://finance.yahoo.com/technology/ai/articles/rapid7-launches-rapid7-intelligence-harness-130000040.html)
8. [GlobeNewswire via MarketScreener, Rapid7 to Report Third Quarter 2026 Financial Results on November 4, 14 October 2026 (page also carries the 15 September JPMorgan underweight call, $12 target)](https://www.marketscreener.com/news/rapid7-to-report-third-quarter-2026-financial-results-on-november-4-ce785dd2d181f526)
9. [Rapid7, quarterly figures from its SEC filings, retrieved 15 October 2026](https://www.sec.gov/cgi-bin/browse-edgar?action=getcompany&CIK=0001560327)
10. [GitLab, quarterly figures from its SEC filings, retrieved 15 October 2026](https://www.sec.gov/cgi-bin/browse-edgar?action=getcompany&CIK=0001653482)
11. [GitLab, quarterly figures from its SEC filings, retrieved 16 October 2026](https://www.sec.gov/cgi-bin/browse-edgar?action=getcompany&CIK=0001653482)


---

Rapid7 convierte el fallo 10,0 de GitLab en una demostración en directo de su producto, tres semanas antes de presentar resultados — The Inference. Canonical: https://theinference.org/article/rapid7-turns-gitlab-s-10-0-flaw-into-a-live-product-demo-three-weeks-before-earnings/es