Vulnerabilidad crítica en GitLab (CVE‑2026‑19478)

GitLab ha publicado un parche para una vulnerabilidad de gravedad crítica que afecta a sus ediciones Community y Enterprise. La falla, identificada como CVE‑2026‑19478, permite a un atacante sin credenciales ejecutar una directiva GraphQL que modifica o elimina proyectos públicos y datos de usuarios.

Detalles técnicos

  • CVSS v3.1: 9.4 (CRITICAL) – AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:H
  • CWE: CWE‑94 (Improper Control of Generation of Code)
  • Versiones afectadas:
  • 18.2 – 18.11.10
  • 19.0 – 19.0.7
  • 19.1 – 19.1.5
  • 19.2 – 19.2.3
  • Vector de ataque: una petición GraphQL que incluye una directiva maliciosa. No se requiere autenticación ni interacción del usuario.

"Una vulnerabilidad crítica que permite la manipulación remota de proyectos" – The Hacker News

Impacto

El atacante puede:
- Modificar el contenido de repositorios públicos.
- Eliminar proyectos completos.
- Alterar datos de usuarios vinculados a los proyectos afectados.

Estos cambios pueden comprometer la integridad de la cadena de suministro de software y exponer información sensible.

Mitigación

GitLab recomienda actualizar inmediatamente a las versiones corregidas:
- 18.11.11
- 19.0.8
- 19.1.6
- 19.2.4

Mientras tanto, se pueden aplicar controles de red para bloquear consultas GraphQL no autorizadas y monitorizar logs de actividad inusual.

Referencias

¿Estás cubierto en DefensOps?

Nuestro plan Essential incluye una cobertura genérica mediante el motor de correlación, capaz de detectar patrones de explotación de vulnerabilidades como CVE‑2026‑19478 aunque no se asocien a técnicas MITRE específicas. Mantén tu entorno vigilado sin necesidad de configuraciones complejas.

CTA: Descubre los planes y solicita una demo