- Fallo de inyección de código CVE-2026-19478 que permite borrar o modificar proyectos públicos sin autenticación.
- Afecta a instalaciones autogestionadas de GitLab CE y EE en múltiples ramas de versión.
- Se recomienda la actualización inmediata a las versiones 18.11.11, 19.0.8, 19.1.6 o 19.2.4.
- Incluye la corrección de un fallo CSRF adicional y alertas sobre la enumeración de usuarios.
Parece que GitLab ha tenido que activar todas sus alarmas para sacar un parche de emergencia que soluciona un agujero de seguridad bastante serio. Estamos hablando de una vulnerabilidad crítica que, básicamente, deja la puerta abierta para que cualquier persona sin cuenta ni permisos pueda meterse en proyectos públicos y borrar o cambiar datos de usuarios, lo cual es un marrón monumental para cualquiera que gestione sus propias instancias.
El problema central reside en cómo el sistema maneja GraphQL, una herramienta que normalmente es genial por su flexibilidad, pero que en este caso ha sido el caballo de Troya. La falla, bautizada como CVE-2026-19478, ha alcanzado un puntaje CVSS de 9.4, lo que en lenguaje llano significa que es extremadamente peligrosa porque no hace falta que el atacante sea un experto ni que el usuario haga clic en ningún enlace raro para que la exploitación funcione.
Análisis técnico del CVE-2026-19478
Lo que ocurre aquí es un problema de inyección de código a través de una directiva de GraphQL. En condiciones muy concretas, un malintencionado puede inyectar operaciones que el sistema ejecuta sin cuestionar, permitiéndole manipular la integridad y la disponibilidad de la plataforma. Lo más preocupante es que el vector de ataque es totalmente remoto y no requiere ninguna autenticación previa, haciendo que los servidores expuestos a internet sean blancos fáciles para bots automatizados.
Aunque GitLab ha sido cauteloso y no ha soltado todos los detalles sobre la directiva exacta que falla para no darle el mapa completo a los hackers, es evidente que el impacto es alto. Si bien la confidencialidad se ve menos afectada, la capacidad de eliminar proyectos enteros o alterar la información de usuario es un riesgo que ninguna empresa puede permitirse ignorar.
Versiones en el punto de mira y soluciones
No todo el mundo está en riesgo, ya que quienes usan GitLab.com o GitLab Dedicated ya están protegidos. El problema real está en las instalaciones autogestionadas (Self-managed), independientemente de si usan el despliegue Omnibus, Helm o código fuente. Las versiones afectadas son las siguientes:
- Cualquier versión desde la 18.2 hasta antes de la 18.11.11.
- La rama 19.0 antes de llegar a la 19.0.8.
- La rama 19.1 antes de la 19.1.6.
- La rama 19.2 antes de la 19.2.4.
Para solucionar este jaleo, la única opción viable es actualizar inmediatamente a las versiones parcheadas mencionadas arriba. Un detalle importante para los administradores es que quienes estén en versiones entre la 18.2 y la 18.10 no encontrarán un parche específico para su versión, por lo que deben saltar directamente a una rama compatible y actualizada.
Otros riesgos: CVE-2026-19650 y CVE-2021-4191
Como si no fuera suficiente, el mismo paquete de seguridad corrige el CVE-2026-19650. Este es un fallo de tipo CSRF (Cross-Site Request Forgery) con un CVSS de 7.1 que afecta al manejador de consultas multiplex de GraphQL. A diferencia del anterior, este sí requiere que el usuario interactúe, pero aun así permitiría ejecutar mutaciones mediante solicitudes GET si la validación falla.
Por otro lado, revisando el historial de GitLab, hemos visto problemas como el CVE-2021-4191. Aquella vulnerabilidad era más ligera pero peligrosa a su manera, ya que permitía la enumeración de usuarios no autenticados. Un atacante podía extraer nombres e IDs de correo, lo que servía como caldo de cultivo para lanzar campañas de phishing o ataques de fuerza bruta muy dirigidos.
Cómo detectar si te han atacado
Dado que no hay indicadores de compromiso (IoC) como IPs concretas o hashes de archivos, los equipos de seguridad tienen que jugar al detective revisando la telemetría. Es fundamental echar un ojo a los registros del WAF y del proxy inverso buscando ráfagas inusuales de solicitudes GraphQL provenientes de sesiones anónimas o mutaciones que no tengan sentido en el flujo de trabajo normal.
También es recomendable hacer una auditoría de los proyectos públicos. Si veis que han desaparecido repositorios o que los datos de usuarios han cambiado sin que haya un registro de actividad de un administrador, es muy probable que hayáis sido víctimas de este fallo. En ese caso, lo ideal es preservar los logs antes de restaurar todo desde una copia de seguridad fiable.
Para cerrar el círculo de seguridad, especialmente frente a fallos de enumeración, una medida muy efectiva es desactivar los perfiles públicos desde el panel de administración en la sección de visibilidad y acceso. Esto evita que cualquier curioso pueda recolectar datos personales sin haber iniciado sesión. Mantener el software al día y vigilar los endpoints de la API de GraphQL es la mejor defensa contra este tipo de vulnerabilidades críticas que ponen en jaque la infraestructura de desarrollo.