GitLab ha parcheado de urgencia una vulnerabilidad crítica que permite a un atacante no autenticado leer cualquier archivo del servidor. La compañía publicó el jueves los parches para sus ediciones Community y Enterprise, según su web oficial, y ha instado a actualizar las instalaciones autogestionadas de inmediato. WatchTowr Labs ya confirma escaneos masivos en internet en busca del fallo.
Un fallo que se explota con una sola petición HTTP
El error más grave, identificado como CVE-2026-85706, reside en el componente que procesa los commits de los repositorios. GitLab ha asignado una puntuación CVSS de 10.0 al fallo. La causa técnica es un fallo de path traversal: la aplicación no delimita correctamente las rutas de archivo y no exige autenticación en ciertas condiciones. Basta una única petición HTTP dirigida contra la ruta vulnerable. Afecta a todas las versiones desde la 18.7 hasta la 19.1.8, y a las líneas 19.2 y 19.3 anteriores a los parches de esta semana. Le pongo en contexto: si usted administra una instalación de GitLab accesible desde internet, este es el escenario más peligroso.
GitLab ha confirmado que su servicio alojado ya ejecuta el código corregido. Los clientes de su oferta Dedicated no están afectados. El riesgo recae sobre las instalaciones autogestionadas, una categoría habitual en entornos empresariales y administraciones públicas. Eso incluye sistemas de desarrollo internos que rara vez reciben parches con la agilidad de los servicios gestionados.
El segundo fallo, CVE-2026-87719, solo afecta a la edición Enterprise. Un usuario de Duo Chat podría leer credenciales de Advanced Search. El ataque oculta un comando dentro de una petición ordinaria. El servidor responde devolviendo su propia configuración, incluidas las contraseñas almacenadas. La vulnerabilidad afecta desde la versión 18.3 y arrastra una puntuación CVSS de 9.9. No es un vector de acceso anónimo, pero convierte una cuenta legítima en la llave de la cámara acorazada.
WatchTowr Labs escribió en LinkedIn que ya observa sondeos contra el fallo de path traversal. El ataque se puede lanzar con una única petición HTTP. La firma recomienda revisar los logs en busca de peticiones POST a direcciones bajo /api/v4/projects/{id}/repository/commits/ que incluyan el parámetro file.path. La firma lo resume con una frase que conviene subrayar: ‘Basándonos en vulnerabilidades recientes de GitLab, sabemos que el tiempo hasta la explotación indiscriminada no está lejos.’ No es una suposición: lo están viendo en tráfico real.
La agencia federal estadounidense CISA ha incluido ambos fallos en su catálogo de vulnerabilidades explotadas (KEV). La entrada oficial en el KEV suele acelerar los plazos de parcheo en agencias federales y contratistas. La adición se produjo el viernes por la tarde, apenas veinticuatro horas después de la publicación de los parches.
La explotación indiscriminada de una vulnerabilidad crítica en una herramienta de desarrollo no es cuestión de si ocurrirá, sino de cuántos servidores quedarán expuestos antes del parche.
Ningún parche es opcional.
El historial de la cadena de suministro: de SolarWinds al xz Utils
La cadena de suministro del software es un vector de ciberguerra. Lo advertí en El quinto elemento: ‘En España hay 8.000 infraestructuras críticas y atacables a través de internet.’ GitLab no es una infraestructura crítica aislada: es la herramienta con la que se construyen otras. No se equivoque conmigo: si un actor estatal compromete la herramienta de desarrollo de una empresa, no necesita atacar los sistemas finales. Le basta con envenenar el código que la empresa despliega.
El precedente más conocido es SolarWinds, el ataque de 2020 atribuido al SVR ruso. Los atacantes comprometieron el sistema de actualizaciones de Orion y distribuyeron una puerta trasera a más de 18.000 clientes. En 2024, el intento de backdoor en xz Utils estuvo a punto de introducir una puerta trasera en millones de sistemas Linux. No fueron operaciones aisladas: fueron avisos.
Así de simple.
En España, las administraciones públicas y las empresas del IBEX 35 suelen utilizar GitLab autogestionado en entornos de desarrollo. Un compromiso de estos servidores abriría la puerta al robo de código fuente y a la preparación de ataques posteriores. He seguido de cerca cómo el CCN-CERT monitoriza este tipo de avisos. El CNI, a través del CCN-CERT, suele publicar alertas de seguridad para organismos públicos y empresas estratégicas. No he visto aún un aviso específico para estos dos CVE de GitLab, pero en incidentes similares el procedimiento es conocido: se cruza la lista de sistemas expuestos con las capacidades de detección de las redes gubernamentales. Le adelanto que ninguna instalación autogestionada expuesta en internet debería esperar a ese aviso.
Dossier Moncloa: Ojos en la Sombra
Vector de amenaza: ciberataque con path traversal y fuga de credenciales. El vector primario no exige autenticación y usa una petición HTTP. El segundo vector convierte a un usuario legítimo en una amenaza interna. La superficie de ataque son instalaciones autogestionadas conectadas a internet, no el servicio alojado de GitLab.
Agencias implicadas: quien ataca es todavía desconocido, pero WatchTowr Labs describe escaneos propios de actores oportunistas y, potencialmente, de APT que buscan replicar el patrón de SolarWinds. Quien defiende es GitLab con su parche, CISA con el KEV y el CCN-CERT con la monitorización del perímetro español. Quien mira son todos los servicios de inteligencia aliados: un fallo de esta naturaleza en una herramienta de desarrollo es un regalo para cualquier agencia que busque acceso a la cadena de suministro de un adversario.
Nivel de clasificación estimado: sin clasificar pero sensible. No estamos ante material que comprometa secretos de Estado, pero la capacidad de leer archivos de un servidor de desarrollo puede exponer código fuente, credenciales y configuraciones internas. En un entorno empresarial, ese material es oro para un servicio de inteligencia. Lo veo así: la frontera entre espionaje industrial y ciberguerra estatal está en este tipo de vulnerabilidades.
El precedente de operaciones como SolarWinds o xz Utils demuestra que el tiempo entre el parche y la explotación indiscriminada se mide en horas. Si usted administra un GitLab autogestionado, no espere a leer el próximo informe de Citizen Lab o Mandiant. Actualice hoy. El próximo lunes puede ser tarde.
