GitLab corrige une faille de gravité maximale susceptible de permettre l’exécution de code sans authentification
Arkadiy Andrienko
GitLab a déployé en urgence des correctifs sur sept branches de publication pour la CVE-2026-110264 et exhorte les administrateurs d’instances autogérées à les installer rapidement, d’autant que certaines mises à niveau peuvent entraîner une interruption de service sur les installations à nœud unique. La faille concerne toutes les versions de GitLab depuis la 7.0, publiée en 2014.
La vulnérabilité est due à un dépassement d’entier qui se produit lorsque GitLab compile une expression régulière spécialement conçue à l’aide de son moteur Onigmo intégré. GitLab a publié des correctifs pour sept branches : 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 et 18.11.13. Seules les installations autogérées nécessitent une intervention. GitLab.com utilise déjà une version corrigée, et les instances GitLab Dedicated en version 19.3.5-internal0 ou 19.4.2-internal0, ou ultérieure, n’ont pas besoin d’un correctif distinct.
GitLab a déclaré n’avoir aucun indice indiquant que la faille avait été exploitée lors d’attaques. Au 22 octobre, la CVE-2026-110264 ne figurait pas non plus dans le catalogue des vulnérabilités connues comme exploitées de la CISA. Le problème a été signalé par le chercheur en sécurité joaxcar, qui a rapporté quatre failles d’exécution de code dans le moteur d’expressions régulières de GitLab en l’espace d’un mois. Le rapport sur la vulnérabilité décrit le problème.
GitLab a également publié deux règles de détection afin d’aider les administrateurs d’instances autogérées à rechercher dans les journaux de l’application d’éventuelles tentatives d’exploitation. Les administrateurs qui passent aux versions 19.4.3 ou 19.3.6 doivent noter que ces versions comprennent des modifications de la base de données susceptibles d’entraîner une interruption de service sur les installations à nœud unique.
Si vous utilisez une installation GitLab autogérée, la mettriez-vous à jour immédiatement malgré le risque d’interruption de service ?