GitLab CVE-2026-110264 : faille CVSS 10 et exécution de code à distance

GitLab a publié le 21 octobre 2026 des correctifs pour la faille CVE-2026-110264, notée 10,0 sur 10 sur l'échelle CVSS : un dépassement d'entier (integer overflow) dans la compilation d'une expression régulière spécialement forgée permet une exécution de code à distance, sans authentification. Elle touche les installations auto-hébergées de GitLab depuis la version 7.0, sortie en 2014, selon The Hacker News.

Qui est concerné par cette faille GitLab ?

Seules les installations « self-managed » sont concernées. GitLab.com est déjà corrigé, de même que GitLab Dedicated à partir des versions internes 19.3.5-internal0 et 19.4.2-internal0. La faille se situe dans Onigmo, le moteur d'expressions régulières de Ruby, que GitLab intègre et a modifié dans ses propres paquets. GitLab n'a pas précisé les conditions requises pour atteindre le compilateur vulnérable ; l'absence d'authentification est donc établie, mais pas la facilité réelle d'exploitation.

Le nombre d'instances exposées sur Internet n'est pas connu, et la faille ne figurait pas, au 22 octobre, dans le catalogue des vulnérabilités exploitées de la CISA, l'agence américaine de cybersécurité. GitLab ne signale aucune exploitation.

Quelles versions installer ?

Le correctif est rétroporté sur plusieurs branches, ce que GitLab ne réserve qu'aux failles graves : 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 et 18.11.13 (pour toutes les versions de la 7.0 à la 18.11). Aucun contournement n'est proposé : la mise à jour est la seule protection certaine.

Que faire avant la mise à jour ?

Les versions 19.4.3 et 19.3.6 incluent des migrations de base de données : sur un serveur mono-nœud, prévoir une interruption de service. Les déploiements multi-nœuds peuvent suivre la procédure sans interruption de GitLab. En attendant, GitLab publie deux règles de détection au format Sigma, « Onigmo native worker crash » et « Org mode render error burst », qui s'appuient sur les journaux applicatifs pour repérer d'éventuelles tentatives.

Pourquoi cette faille en rappelle d'autres ?

Il s'agit de la quatrième faille d'exécution de code dans ce moteur d'expressions régulières signalée en un mois par le chercheur joaxcar, et de la première qui touche les versions antérieures à la 19.2. La même livraison corrige onze failles, dont CVE-2026-15723 (8,2, prise de contrôle de compte si le lien automatique SAML et LDAP est activé) et CVE-2026-112212 (7,5, empoisonnement de cache sur les points d'accès OAuth et OpenID Connect avec cache partagé). Nous avions déjà couvert une autre faille notée 10 chez l'éditeur : la faille GitLab CVE-2026-85706 sur l'API des commits.

Source

• The Hacker News — Critical GitLab Flaw (CVSS 10.0) Could Allow Unauthenticated RCE Across 12 Years of Releases