VULNERABILIDAD
Falla crítica en GitLab explotada contra Alpine Linux y sumada al catálogo KEV de CISA
Un actor no identificado intentó aprovechar una vulnerabilidad de severidad máxima en una instancia de GitLab de Alpine Linux. La agencia estadounidense confirmó explotación activa y fijó fecha límite de parcheo.
La vulnerabilidad CVE-2026-97229, con puntaje CVSS de 10.0, afecta a GitLab Community Edition y Enterprise Edition. Permite que un usuario no autenticado ejecute código arbitrario en el servidor mediante una expresión regular especialmente diseñada en una configuración de CI/CD, por validación insuficiente de esas expresiones.
La distribución Alpine Linux informó que un actor de amenazas no identificado intentó explotar la falla contra su instancia de GitLab el 20 y 21 de octubre de 2026. El atacante envió configuraciones de CI manipuladas y provocó ocho caídas de los procesos trabajadores de GitLab; en cuatro de ellas el exploit falló en el paso siguiente.
El atacante también descargó la imagen de contenedor de GitLab de Alpine Linux. Los intentos de reingreso del 25 y 26 de octubre fueron bloqueados, según la propia distribución.
La agencia estadounidense de ciberseguridad CISA agregó la falla de GitLab y una denegación de servicio en firewalls Cisco a su catálogo de vulnerabilidades explotadas, con evidencia de explotación activa, y fijó el 1 de noviembre de 2026 como plazo para que las agencias federales apliquen las correcciones.
Qué se sabe
ACREDITADO
- CISA agregó CVE-2026-97229 de GitLab y CVE-2026-76418 de Cisco a su catálogo de vulnerabilidades explotadas activamente.
- Alpine Linux confirmó que un actor no identificado intentó explotar su instancia de GitLab el 20 y 21 de octubre de 2026.
- Los mantenedores de Alpine Linux afirmaron que el ataque estuvo cerca de funcionar y que no hallaron evidencia de éxito, aunque no pudieron descartarlo.
- Alpine Linux reconstruyó la instancia desde cero y verificó que el repositorio aports, los paquetes y las versiones del 21 de octubre no fueron alterados.
- Cisco informó que tuvo conocimiento de explotación activa de la falla de denegación de servicio a principios de octubre de 2026.
SIN VERIFICAR O ABIERTO
- No se identificó públicamente a los atacantes ni la cantidad de organizaciones afectadas por la falla de GitLab.
- Cisco no detalló las acciones de los atacantes tras obtener acceso inicial mediante la falla de sus firewalls.
- Alpine Linux no pudo descartar por completo que la explotación haya tenido éxito, pese a no encontrar evidencia.
- Se desconoce si otras instancias de GitLab fueron comprometidas con la misma técnica.
Contexto
La falla de GitLab se suma a un patrón de vulnerabilidades de severidad máxima en herramientas de integración y despliegue continuo, que por su acceso a repositorios y credenciales son objetivos atractivos para actores de amenazas. La explotación no requiere autenticación, lo que amplía la superficie de riesgo para cualquier instancia expuesta sin parchear.
Cisco también reportó explotación activa de una falla de denegación de servicio en sus soluciones Secure Firewall ASA y FTD, que puede provocar la recarga inesperada del dispositivo por parte de un atacante remoto no autenticado. La agencia estadounidense incluyó ambas fallas en su catálogo con plazos de corrección para agencias federales.
Alpine Linux es una distribución enfocada en seguridad y de uso extendido en contenedores e infraestructura. El incidente muestra cómo una instancia de GitLab mal configurada o sin actualizar puede convertirse en puerta de entrada incluso para proyectos con prácticas de seguridad consolidadas.
Qué hacer
- Actualizar GitLab de inmediato Aplicar las versiones corregidas de GitLab Community y Enterprise Edition, priorizando instancias expuestas a internet.
- Revisar configuraciones de CI/CD Auditar las expresiones regulares y configuraciones de integración continua en busca de patrones manipulados o no autorizados.
- Rotar credenciales y tokens Cambiar contraseñas, tokens de acceso y claves de despliegue que hayan estado almacenados en la instancia afectada.
- Monitorear accesos anómalos Revisar registros de GitLab y de los runners en busca de caídas repetidas, descargas de imágenes o accesos no reconocidos.
- Parchear firewalls Cisco Aplicar las actualizaciones de Secure Firewall ASA y FTD para evitar interrupciones por denegación de servicio.
CÓMO SE ELABORÓ Nota de la redacción de DUPIN Noticias, escrita con asistencia de inteligencia artificial a partir de información pública y revisada con reglas editoriales automáticas. Lo que no está verificado se marca como tal. ¿Encontraste un error? Pedí una corrección · Metodología.
