autoalojamiento
3 artículos con esta etiqueta
Vulnerabilidad CVE-2026-110447 en el servidor CODE integrado de Collabora en Nextcloud, explotada: quién está afectado y qué hacer
El 14 de octubre de 2026, los desarrolladores de Collabora Online revelaron el CVE-2026-110447, una vulnerabilidad de inyección de comandos del sistema operativo sin autenticación en la aplicación de Nextcloud Collabora Online - Built-in CODE Server (ID de aplicación richdocumentscode). A través de proxy.php de la aplicación, los comandos pueden ejecutarse como el usuario del servidor web. La condición es que el servidor CODE integrado no esté en ejecución, lo que puede ocurrir tras un reinicio del contenedor, una actualización o un fallo. Están afectadas las versiones anteriores a la 26.4.303; la 26.4.303 se publicó el 11 de septiembre. Los desarrolladores afirman que desactivar la aplicación no evita el problema y piden actualizarla o eliminarla. En Nextcloud 29 y versiones anteriores, que ya no tienen soporte, actualiza Nextcloud o elimina la aplicación. Según los desarrolladores, los servidores independientes de Collabora Online, las imágenes Docker, los paquetes RPM/DEB y Nextcloud All-in-One no están afectados. La puntuación CVSS v4.0 es 9,2. CISA añadió el fallo a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV) el 23 de octubre, con fecha límite el 26 de octubre. Los usuarios informaron de ataques desde alrededor del 10 de septiembre en el repositorio de los desarrolladores y, según informes de prensa, se instalaron web shells. Conclusión de este sitio: si la aplicación CODE integrada está instalada, aunque esté desactivada, comprueba su versión hoy, actualízala o elimínala y luego busca indicios desde el 10 de septiembre.
GitLab CVE-2026-110264 (CVSS 10.0) y la CVE-2026-97229 explotada: cómo comprobar y actualizar un GitLab autogestionado
El 21 de octubre de 2026, GitLab publicó las versiones de parche crítico 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 y 18.11.13 para Community Edition (CE) y Enterprise Edition (EE). La falla más grave, CVE-2026-110264 (CVSS 10.0), es un desbordamiento de entero al compilar una expresión regular especialmente diseñada que, bajo ciertas condiciones, podría permitir a un usuario no autenticado ejecutar código arbitrario en el servidor de GitLab. Casi todas las versiones desde la 7.0 están afectadas. El 29 de octubre, CISA añadió una falla hermana, CVE-2026-97229 (CVSS 10.0, CWE-190), a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV), con fecha límite del 1 de noviembre. Es el mismo tipo de fallo (un desbordamiento de entero en el compilador de expresiones regulares de CI/CD, alcanzable por un usuario no autenticado); GitLab la corrigió antes, el 12 de octubre, en 19.4.2, 19.3.5 y 19.2.8, y afecta solo a 19.2.0 a 19.2.7, 19.3.0 a 19.3.4 y 19.4.0 a 19.4.1. Quien siga por debajo de 19.4.2, 19.3.5 o 19.2.8 está expuesto a una falla explotada. Actualizar a las versiones recomendadas aquí (19.5.1, 19.4.3, 19.3.6, 19.2.9) también corrige CVE-2026-97229. GitLab.com ya está parcheado; las instalaciones autogestionadas deben actualizarse. La misma versión del 21 de octubre corrige dos fallas de gravedad alta (CVSS 8.2 y 7.5) y otras, pero esas correcciones solo llegan en las líneas 19.3.6, 19.4.3 y 19.5.1. La causa raíz está en el motor de expresiones regulares de Ruby (Onigmo), y Ruby publicó 4.0.9, 3.4.12 y 3.3.13 el 23 de octubre. Las aplicaciones que compilan una regexp a partir de cadenas controladas por un atacante están afectadas, y Regexp.timeout no protege contra estos fallos. Los avisos de GitLab no dicen que CVE-2026-110264 se haya explotado, y no figura en KEV a 30 de octubre. Alpine Linux informó de un intento de ataque contra su propio GitLab mediante CVE-2026-97229 el 20 y 21 de octubre, y de que actualizar solo GitLab (a la 19.3.6) no cerró la falla porque la corrección también necesitaba un Ruby parcheado; reconstruyó la instancia y no encontró pruebas de que se ejecutara código del atacante. Conclusión de este sitio: actualice hoy el GitLab autogestionado tras revisar las paradas obligatorias de actualización, termine en la 19.3.6 o posterior y, si compila GitLab usted mismo o usa su propio Ruby, compruebe que ese Ruby sea también 3.3.13, 3.4.12 o 4.0.9 o posterior. Las aplicaciones Ruby deben pasar a un Ruby corregido y dejar de construir regexps a partir de la entrada del usuario.
Git autoalojado vs GitHub: ¿cuál es realmente más seguro?
Autoalojar Git no te hace 'más seguro' — reubica el riesgo. La clase de exposición pública accidental desaparece, pero parchear el servidor, las copias de seguridad y la detección de secretos pre-commit pasan a ti. La decisión correcta si sigues haciendo ese trabajo; peor que GitHub si lo descuidas. La visión de este sitio: el autoalojamiento solo funciona acompañado de sus controles compensatorios.