JC Rueda
Ciberseguridad · Aviso

GitBook (plataforma SaaS de documentación) · Acceso no autorizado a credenciales de infraestructura

GitBook confirma que un atacante accedió a parte de sus credenciales de infraestructura y pudo haber visto secretos de integración y tokens de clientes; la compañía ya ha invalidado todos los tokens de API y pide a los usuarios rotar sus credenciales.

Publicado Lectura 6 min Ref. Sin CVE CVSS — Estado Explotación activa

Resumen

La plataforma de documentación GitBook sufrió el 2 de noviembre de 2026 un acceso no autorizado a parte de sus credenciales de infraestructura. Según su propio aviso, el atacante pudo haber accedido a secretos de Git Sync, tokens de API de GitBook y de terceros, y a las preguntas que los visitantes formularon al asistente de IA. No es una vulnerabilidad con CVE ni consta explotación de un fallo concreto de producto: es una brecha de seguridad en la infraestructura del proveedor. GitBook dice haber bloqueado al atacante, reemplazado todos sus secretos e invalidado todos los tokens de API de clientes, que ahora deben rotar sus credenciales.

Materias: Brecha de seguridad, Credenciales y secretos, Tokens de API, SaaS / servicios en la nube, Documentación técnica, RGPD / notificación de brechas

El pasado 2 de noviembre de 2026, a las 19:00 (hora central europea, CET), un atacante obtuvo acceso no autorizado a parte de las credenciales de infraestructura de GitBook, el popular servicio en la nube que miles de empresas usan para crear y publicar su documentación y sus bases de conocimiento. La compañía detectó el incidente, retiró temporalmente sus servicios y, al restablecerlos, invalidó de golpe todos los tokens de acceso de sus clientes. No hablamos de una vulnerabilidad con identificador público, sino de una brecha de seguridad en el propio proveedor: lo confirmado es la intrusión; buena parte del alcance, de momento, solo se describe como posible.

Descripción

¿Qué es GitBook? Es una plataforma SaaS (del inglés Software as a Service, software que se usa a través de internet sin instalarlo en local) para redactar, alojar y publicar documentación, manuales y bases de conocimiento. Entre otras funciones, ofrece sincronización con repositorios de código mediante Git Sync, una API (interfaz que permite que otros programas se conecten a GitBook de forma automatizada), integraciones con herramientas de terceros, un asistente de inteligencia artificial y un servidor MCP (Model Context Protocol, el mecanismo que permite que un asistente de IA se conecte a GitBook como fuente de datos).

¿A quién afecta? El incidente afecta a la infraestructura del servicio en la nube de GitBook, de modo que el impacto potencial alcanza a sus clientes, especialmente a quienes tuvieran configurado alguno de estos elementos: tokens de API de GitBook, secretos de Git Sync, tokens o secretos de integraciones con herramientas externas, o el servidor MCP. Entre los usuarios de la plataforma figuran numerosos proyectos tecnológicos; a raíz del incidente, varios de ellos (por ejemplo, trade.xyz o PancakeSwap) retiraron temporalmente su documentación como precaución.

¿Qué versiones afecta? Al tratarse de un servicio en la nube gestionado íntegramente por el proveedor, no hay «versiones» de producto afectadas como ocurriría con un software instalable: el problema estuvo en la infraestructura de GitBook y afectó al servicio durante la ventana del incidente. No se ha asignado ningún CVE (identificador estándar de vulnerabilidades) ni consta clasificación CWE asociada, porque lo divulgado es una intrusión en credenciales, no un fallo de producto concreto con detalle público.

Mecánica

Según el aviso oficial, el atacante obtuvo acceso no autorizado a parte de las credenciales de infraestructura de GitBook. Una «credencial de infraestructura» es, en esencia, una contraseña o clave que usan los propios sistemas internos de la empresa para hablar entre sí (por ejemplo, para acceder a servidores, bases de datos o servicios en la nube). Quien controla esas claves puede llegar a operar como si fuera el propio servicio.

GitBook describe el ataque como «sofisticado, altamente dirigido y apoyado en agentes de inteligencia artificial». Conviene ser prudente con esta caracterización: es la versión del fabricante y, a día de hoy, no se ha publicado el análisis técnico (post mortem) que permita verificar de forma independiente el vector de entrada exacto, cómo se obtuvieron las credenciales ni qué papel concreto tuvieron esos «agentes de IA». La propia empresa dice haber «cerrado las vulnerabilidades implicadas», pero no las detalla.

En cuanto a los datos, GitBook indica que el atacante pudo haber accedido a los siguientes elementos (lo presenta como posibilidad, no como hecho confirmado):

  • Secretos de Git Sync: las claves que conectan GitBook con tus repositorios de código.
  • Tokens de API de GitBook: credenciales que permiten manejar tu cuenta de GitBook por programa.
  • Tokens de API de terceros: las claves que usas para enlazar GitBook con otras herramientas.
  • Preguntas al asistente de GitBook: las consultas que los visitantes de tu sitio escribieron en el asistente de IA.

La compañía afirma que no ha encontrado indicios de que se haya modificado el contenido alojado en GitBook. El riesgo principal, por tanto, no es tanto la alteración de documentos como que las credenciales y secretos expuestos permitan accesos indebidos a sistemas conectados si no se rotan a tiempo.

Respuesta del creador

Respuesta del fabricante. GitBook comunicó, a través de su página de estado oficial y de mensajes a clientes, que detectó el ataque «de inmediato» y actuó para contenerlo. De forma resumida, afirma haber:

  • Bloqueado al atacante y cerrado las vulnerabilidades implicadas.
  • Reemplazado todas las credenciales y secretos de su infraestructura.
  • Retirado temporalmente la aplicación y los sitios de documentación autenticados, manteniendo en línea el contenido público a partir de datos en caché.
  • Invalidado los tokens de API de sus clientes (el aviso menciona tanto «todos los tokens de API de cada cliente» como la revocación de «todos los tokens de API personales»; el alcance exacto de esta medida no queda del todo claro en la comunicación).

GitBook ha anunciado que publicará un informe técnico detallado (post mortem) y que reforzará las medidas de seguridad de la plataforma. Mientras ese informe no aparezca, hay que distinguir lo confirmado (hubo intrusión y se revocaron tokens) de lo que sigue siendo versión de una sola parte (la sofisticación del ataque o el alcance preciso de los datos vistos).

Autoridades. A fecha de este aviso no consta entrada en el catálogo CISA KEV (la lista estadounidense de vulnerabilidades explotadas de forma conocida), ni ficha en NVD/MITRE, ni aviso específico de INCIBE-CERT, algo coherente con que se trate de una brecha de un proveedor y no de una vulnerabilidad catalogada de producto. En clave jurídica europea, un incidente así puede activar las obligaciones del RGPD si hubo datos personales afectados: notificación a la autoridad de control en un plazo de 72 horas (art. 33) y, en su caso, comunicación a los afectados (art. 34). Corresponde a cada organización usuaria evaluar si, con los datos expuestos en su caso concreto, le aplican esos deberes.

Parches y mitigaciones

Al ser un servicio gestionado en la nube, no hay un parche que el usuario deba instalar: la corrección sobre la infraestructura la ha aplicado el propio GitBook, que declara servicios restablecidos el 3 de noviembre de 2026 (hacia las 16:21 CET), con posibles degradaciones puntuales mientras completaba la recuperación. Lo que sí debe hacer cada cliente es rotar sus credenciales («rotar» significa generar credenciales nuevas y anular las antiguas, por si estas se vieron comprometidas). Medidas recomendadas por el fabricante, que conviene aplicar cuanto antes:

  • Rotar los tokens de API de GitBook. La compañía ya revocó los tokens personales durante el incidente, por lo que habrá que generarlos de nuevo.
  • Rotar los tokens o secretos de terceros que uses para conectar otras herramientas con GitBook.
  • Rotar los secretos de las integraciones publicadas que empleen claves.
  • Volver a autenticar el servidor MCP si lo utilizas.
  • Coordinar el proceso con el administrador de tu organización en GitBook y vigilar accesos anómalos en los servicios externos cuyas claves estuvieran almacenadas en la plataforma.

Como buena práctica adicional, revisa los registros de actividad de las herramientas conectadas por si hubiera habido usos indebidos antes de la rotación, y mantente atento al informe técnico que GitBook ha prometido publicar y a su página de estado (status.gitbook.com) para nuevas actualizaciones.

Fuentes