GitLab corrige una RCE de severidad máxima (CVSS 10.0) en el compilador de regex de CI/CD

GitLab publicó este 12 de octubre de 2026 versiones de parche para corregir CVE-2026-97229, una vulnerabilidad de severidad máxima (CVSS 10.0) en el compilador de expresiones regulares de CI/CD que, según el fabricante, podría permitir a un usuario no autenticado ejecutar código arbitrario en el servidor. Las instancias autogestionadas deben actualizarse de inmediato.

La falla es un desbordamiento de enteros (CWE-190) en el componente que analiza, compila y evalúa expresiones regulares dentro de los archivos de configuración de pipelines CI/CD. GitLab atribuye el problema a una validación insuficiente de esas expresiones. El vector CVSS publicado (AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H) indica explotación por red, baja complejidad, sin privilegios ni interacción del usuario y con cambio de alcance.