GitLab corrigió una falla crítica que permitía tomar el control de su IA Gateway

GitLab corrigió una falla crítica en la puerta de enlace de inteligencia artificial que conecta su plataforma con modelos de IA, según confirmó la empresa en un aviso de seguridad y reproducido por The Hacker News y BleepingComputer.

La vulnerabilidad, identificada como CVE-2026-90970, recibió un puntaje de 9,9 sobre 10 en la escala CVSS, la métrica estándar que mide la gravedad de los fallos de seguridad informática. Un puntaje tan alto implica que el ataque es relativamente fácil de ejecutar y que su impacto potencial es severo.

El problema afecta específicamente al AI Gateway, el servicio que conecta las instalaciones autoalojadas de GitLab con proveedores de modelos de inteligencia artificial.

Según la empresa, un usuario autenticado con acceso a su Duo Agent Platform (la herramienta que permite crear flujos de trabajo automatizados con IA) podía fabricar una configuración maliciosa para escapar del entorno aislado que procesa esos flujos y ejecutar comandos arbitrarios en el servidor.

“GitLab ha remediado un problema en el AI Gateway que, bajo ciertas condiciones, podía haber permitido que un usuario autenticado con acceso a Duo Agent Platform escapara del entorno aislado de la plantilla mediante una configuración de flujo especialmente diseñada, lo que derivaba en la ejecución de comandos arbitrarios en el AI Gateway”, señaló la compañía en su aviso oficial, citado por BleepingComputer.

Quién quedó expuesto y quién no

La falla solo afecta a las organizaciones que operan su propia versión del AI Gateway, una opción que GitLab ofrece a sus clientes empresariales para mantener los datos de sus consultas de IA dentro de su propia infraestructura.

Los clientes que usan la puerta de enlace alojada directamente por GitLab, incluidos quienes usan GitLab.com, GitLab Dedicated y gran parte de las instalaciones autogestionadas, no necesitan tomar ninguna acción porque la empresa ya corrigió el problema de su lado.

Las versiones vulnerables van desde la 18.1.6 hasta las previas a los parches 19.2.4, 19.3.2 y 19.4.1, que ya están disponibles. GitLab afirmó que contactó de manera directa a los clientes con instalaciones autoalojadas antes de publicar el aviso de forma pública, para darles tiempo de actualizar sus sistemas.

La empresa atribuyó el hallazgo al investigador que usa el seudónimo invisiblemeerkat en la plataforma de recompensas por errores HackerOne. Según los reportes de ambos medios, la Agencia de Ciberseguridad e Infraestructura de Estados Unidos (CISA, el organismo federal que coordina la respuesta a incidentes informáticos) evaluó el 2 de octubre que no existe evidencia de explotación activa ni de un código de prueba público para esta falla en particular.

Una debilidad que ya se había visto antes

Este no es el primer tropiezo de GitLab con este componente. En febrero, la compañía ya había corregido otra falla en el mismo tipo de servicio, identificada como CVE-2026-1868 y también calificada con 9,9 puntos, que afectaba al Duo Workflow Service y podía derivar en denegación de servicio o ejecución de código.

Ambas vulnerabilidades pertenecen a la misma categoría técnica, clasificada como CWE-1336, que describe fallas de neutralización incorrecta en motores de plantillas.

La repetición del mismo tipo de error en ocho meses sugiere que ese límite entre el motor de plantillas y el sistema operativo sigue siendo un punto débil para la seguridad de las herramientas de IA integradas en plataformas de desarrollo de software.

El episodio llega apenas semanas después de que GitLab corrigiera otra falla de gravedad máxima, CVE-2026-85706, que permitía a atacantes sin autenticación leer credenciales y otros datos sensibles de servidores vulnerables.

Un día después de ese parche, CISA incorporó esa vulnerabilidad a su catálogo de fallas explotadas activamente y exigió a las agencias federales corregirla en un plazo de tres días bajo la directiva obligatoria BOD 26-04. Desde noviembre de 2021, el organismo marcó cinco vulnerabilidades de GitLab como explotadas en la práctica, incluida una usada por grupos de ransomware.

La plataforma de desarrollo de software de GitLab tiene más de 30 millones de cuentas registradas y es utilizada por más de la mitad de las empresas del ranking Fortune 100, que agrupa a las compañías más grandes de Estados Unidos por ingresos. Entre sus clientes figuran Nvidia, Lockheed Martin, T-Mobile, Goldman Sachs, Airbus y UBS.

Por ahora, GitLab no publicó ningún método alternativo para proteger las instalaciones que todavía no puedan actualizarse ni confirmó si planea extender el parche a versiones anteriores a la 18.1.6.

La compañía recomendó a los administradores verificar la versión específica de su AI Gateway, que se actualiza de forma independiente del resto de la plataforma, y aplicar cuanto antes alguno de los tres parches disponibles.