Ilustración editorial generada con IA por Defensops. No es una fotografía del incidente ni de los equipos afectados. Representa Ilustración del escape de una plantilla de flujo hacia AI Gateway autohospedado.

Síntesis y análisis propios a partir de la cobertura de The Hacker News; las afirmaciones del medio se atribuyen a su fuente.

Qué se ha confirmado

Según The Hacker News, CVE-2026-90970 afecta al AI Gateway autohospedado de GitLab y permite que un usuario autenticado con acceso a Duo Agent Platform llegue a ejecutar comandos en el gateway bajo ciertas condiciones.

La vía descrita consiste en escapar del aislamiento de una plantilla de prompt mediante la configuración especialmente preparada de un flujo personalizado.

La publicación atribuye a GitLab las correcciones en las versiones 19.2.4, 19.3.2 y 19.4.1 del gateway, distribuido por separado como imagen Docker o chart Helm.

GitLab.com, GitLab Dedicated y las instalaciones autogestionadas que utilizan un gateway alojado por GitLab no necesitan intervenir sobre esta falla, según la cobertura.

The Hacker News indica que el aviso no documenta explotación observada y que una evaluación de CISA del 2 de octubre marca la explotación como inexistente.

La cobertura señala que el gateway autohospedado conserva claves de firma JWT y mantiene conexiones con la instancia de GitLab y proveedores de modelos de IA.

Análisis de Defensops

El alcance operativo depende de dos decisiones locales: alojar el gateway dentro de la propia infraestructura y conceder acceso a Duo Agent Platform a usuarios capaces de crear o modificar flujos. Por eso, la exposición no se deduce de tener GitLab o Duo activado sin comprobar dónde se ejecuta el gateway y qué permisos reales existen.

La frontera que falla es relevante porque un flujo diseñado para automatizar tareas de IA podría atravesar el aislamiento de su plantilla y llegar al sistema que presta el servicio. La presencia de claves JWT y conexiones con otros sistemas hace prioritario tratar el gateway afectado como un activo sensible; el texto disponible no acredita robo de claves ni movimiento hacia esos sistemas.

El gateway tiene ciclo de actualización propio. Un inventario que solo registre la versión de GitLab podría pasar por alto una imagen Docker o un chart Helm vulnerable. La cobertura tampoco aclara compatibilidad de las versiones corregidas con ramas antiguas de GitLab, así que algunos despliegues podrían necesitar planificar una actualización conjunta.

Prioridades de revisión

Con urgencia, identificar las instancias que ejecutan AI Gateway autohospedado y registrar la versión exacta de su imagen Docker o chart Helm; separar las que usan el servicio alojado por GitLab.

En los gateways afectados, comprobar la rama instalada y actualizar a 19.2.4, 19.3.2 o 19.4.1 según corresponda; verificar después que el contenedor o despliegue activo usa la nueva imagen.

Revisar qué cuentas tienen acceso a Duo Agent Platform y capacidad de configurar flujos personalizados, y contrastar los cambios de flujos recientes con los registros disponibles del gateway.

Si una rama antigua impide actualizar de inmediato, documentar esa dependencia, consultar la compatibilidad con GitLab y restringir temporalmente la creación o edición de flujos a quienes la necesiten hasta completar la corrección.

Qué no se ha confirmado

No se describen todas las condiciones necesarias para explotar el escape ni un rol más preciso que el acceso a Duo Agent Platform.

La cobertura no confirma explotación real ni ofrece un método específico para determinar si un gateway fue comprometido antes del parche.

No está aclarado si un gateway 19.2.4 es compatible con GitLab 19.1 o anterior ni si habrá correcciones para esas ramas.

Fuente

The Hacker News. Fecha indicada: 2026-10-02.