Ruby publicó parches para cuatro fallos de corrupción de memoria en su motor de expresiones regulares (Onigmo). Los arreglos aparecen en las líneas 4.0.9, 3.4.12 y 3.3.13 publicados por ruby-lang.org el 23 de octubre de 2026, y CloudLinux ha reconstruido y puesto a disposición paquetes alt-ruby con esas correcciones en sus repositorios estables. TuxCare también distribuye paquetes nativos corregidos para diversas distribuciones LTS.
Qué cambia y por qué importa
Los errores se activan cuando una aplicación compila un patrón de expresión regular a partir de texto controlado por un atacante (por ejemplo, usando Regexp.new, Regexp.compile, Regexp.union o interpolación /#{input}/). Durante la compilación del patrón el motor puede corromper memoria, y GitLab demostró que, en su caso, esto pudo derivar en ejecución remota de código. Existe una prueba de concepto pública para uno de los fallos (CVE-2026-97229); no hay evidencias de explotación masiva en entornos reales hasta la fecha.
Quién se ve afectado
La exposición afecta a aplicaciones Ruby que reciben y compilan patrones proporcionados por usuarios u otras fuentes no confiables. En entornos de hosting compartido esto significa que un sitio o aplicación por cuenta puede poner en riesgo su propio proceso Ruby si permite patrones controlados externamente. Las aplicaciones que usan únicamente patrones cerrados (hardcoded) no están expuestas.
Acciones recomendadas para administradores y propietarios
- Actualizar los paquetes alt-ruby de tu servidor a las versiones con los parches disponibles en los repositorios estables de CloudLinux; no es necesario usar canal de pruebas.
- Para entornos donde se use la Ruby del sistema, aplicar los builds corregidos que TuxCare ha publicado para las distribuciones que cubren (CentOS/RHEL 7, Amazon Linux 2, AlmaLinux 9.2 ESU, Ubuntu 16.04–20.04, Debian 10–11, Alpine 3.18, etc.).
- Tras actualizar, reiniciar las aplicaciones Ruby afectadas para que carguen la nueva versión del intérprete. Reiniciar una aplicación toma efecto en segundos; para asegurar todo el servidor reinicia el servicio web (por ejemplo, Apache) si procede.
- Si usas CageFS, no son necesarios pasos extra para los paquetes alt-ruby y ea-ruby27-ruby; para la Ruby del sistema ejecuta cagefsctl –force-update después de actualizar.
- Si no puedes actualizar de inmediato, evita compilar expresiones regulares a partir de entradas no confiables. En Ruby, eso implica no usar Regexp.new/compile/union ni interpolación que incluya datos de usuario. Ten en cuenta que medidas como limitar el tiempo de ejecución de coincidencias (Regexp.timeout) o recortar la longitud del patrón no garantizan protección, porque la corrupción ocurre al compilar.
Soporte y alcance de las correcciones
Ruby publicó parches para las líneas 4.0, 3.4 y 3.3; CloudLinux reconstruyó esos paquetes y también ha aplicado backports a líneas más antiguas que aún soporta. Las versiones muy antiguas (alt-ruby18–alt-ruby25) no reciben soporte ni correcciones y deben migrarse a una línea soportada. En Ubuntu 24.04 CloudLinux no publica alt-ruby directamente, pero TuxCare ha hecho disponibles paquetes alt-ruby corregidos para varias líneas en ese sistema.
Información técnica esencial
Los cuatro CVE (asignados por GitLab: CVE-2026-89078, CVE-2026-93577, CVE-2026-97229 y CVE-2026-110264) afectan al apartado de compilación de patrones de Onigmo. Uno de los fallos (CVE-2026-89078) afecta únicamente a líneas a partir de Ruby 3.3; los demás tienen impacto según la línea y los backports aplicados por cada distribuidor. GitLab, que actuó como CNA, calificó los fallos con puntuaciones muy altas en su contexto, pero la explotación práctica depende de si un servicio permite que usuarios suban patrones para compilar.
CloudLinux recuerda que las versiones parcheadas ya están en los repositorios estables y que los administradores deben comprobar el número de paquete instalado frente al mínimo fijo indicado en el aviso de la compañía.
Lee también:
- Campaña infecta 953 tiendas online con JavaScript que evita detectores, mayormente en Magento
- Wordfence crea un equipo de respuesta para reportar amenazas activas en el ecosistema WordPress
Fuente: CloudLinux
