GitLab parchea una lectura arbitraria de ficheros sin autenticar de CVSS 10

GitLab cerró el 10 de septiembre CVE-2026-85706 con las versiones 19.3.2, 19.2.6 y 19.1.8. Es una lectura arbitraria de ficheros sin autenticar en la API de commits de repositorio, con CVSS 3.1 de 10.0. CISA la metió en su catálogo de vulnerabilidades explotadas conocidas al día siguiente, así que no es teórica: alguien la está usando.

La falla toca instancias autogestionadas, Community Edition y Enterprise Edition, en rangos de versión concretos. GitLab.com y GitLab Dedicated los lleva el propio fabricante, así que ahí no hay nada que hacer. Para quien administra una instancia propia, la primera pregunta es si está expuesta a internet y si está parcheada.

Un censo de huellas no es un censo de afectados

Una consulta a ZoomEye con el filtro app="GitLab", lanzada el 19 de septiembre de 2026, devuelve 1.262.273 coincidencias en el conjunto de dispositivos IPv4 y 52.074 en el de web. Son dos cifras que miden cosas distintas: la primera cuenta observaciones de host y servicio con la huella de GitLab, la segunda registros de sitio y dominio. No se suman, y ninguna de las dos cuenta instancias vulnerables. La cifra es de ZoomEye, que vende precisamente la herramienta de medición, y conviene tenerlo en cuenta al leerla.

Una coincidencia dice que se vio GitLab en esa dirección, nada más. La huella no lleva la versión de forma fiable, no aclara si la API de commits está expuesta directamente o detrás de un proxy, y no distingue una instancia publicada a propósito de otra que se expuso por accidente. Tampoco dice si alguien ya entró.

Aun así, el número sirve. Las instancias de GitLab no están repartidas de forma uniforme: se concentran en organizaciones de ingeniería, suelen guardar credenciales de sistemas posteriores y cuelgan de pipelines, repositorios de artefactos y entornos cloud. Una lectura de ficheros sin autenticar alcanza lo que alcance el proceso del servicio, y eso normalmente incluye ficheros de configuración, material de sesión y de firma, credenciales de bases de datos y de almacenamiento de objetos, y tokens de despliegue.

Qué hacer

Inventariar las instancias autogestionadas, incluidas las de recuperación ante desastres, y comprobar la versión de cada una. Lo que esté en los rangos afectados, a 19.1.8, 19.2.6, 19.3.2 o superior. Si la actualización no puede ser inmediata, cerrar la exposición pública mientras tanto. La parte de credenciales va aparte: enumerar qué puede leer la cuenta de servicio de GitLab y rotar todo lo que fuera alcanzable y no se pueda descartar.

La medición externa sirve para reconciliar con el inventario propio y encontrar lo que no estaba en los registros, que suele ser justo lo que se queda fuera del ciclo de parches. El recuento de huellas es una observación de alcanzabilidad y nada más: funciona como denominador para priorizar, no como hallazgo.