# GitLab CVE-2026-110264 : faille CVSS 10 et exécution de code à distance

> Un dépassement d'entier dans le moteur d'expressions régulières Onigmo touche toutes les versions auto-hébergées depuis 2014. Aucune exploitation n'est signalée.

- Source : KLYNLABS (https://klynlabs.eu)
- URL : https://klynlabs.eu/articles/gitlab-cve-2026-110264-faille-cvss-10-onigmo-rce
- Auteur : Kelvyn
- Publié le : 22 octobre 2026 (2026-10-22T04:37:21.514Z)
- Rubrique : Cybersécurité
- Sujets : Vulnérabilité, GitLab, Correctif, Exécution de code à distance, Onigmo
- Langue : français

GitLab a publié le 21 octobre 2026 des correctifs pour la faille CVE-2026-110264, notée 10,0 sur 10 sur l'échelle CVSS : un dépassement d'entier (integer overflow) dans la compilation d'une expression régulière spécialement forgée permet une exécution de code à distance, sans authentification. Elle touche les installations auto-hébergées de GitLab depuis la version 7.0, sortie en 2014, selon The Hacker News.

## Qui est concerné par cette faille GitLab ?

Seules les installations « self-managed » sont concernées. GitLab.com est déjà corrigé, de même que GitLab Dedicated à partir des versions internes 19.3.5-internal0 et 19.4.2-internal0. La faille se situe dans Onigmo, le moteur d'expressions régulières de Ruby, que GitLab intègre et a modifié dans ses propres paquets. GitLab n'a pas précisé les conditions requises pour atteindre le compilateur vulnérable ; l'absence d'authentification est donc établie, mais pas la facilité réelle d'exploitation.

Le nombre d'instances exposées sur Internet n'est pas connu, et la faille ne figurait pas, au 22 octobre, dans le catalogue des vulnérabilités exploitées de la CISA, l'agence américaine de cybersécurité. GitLab ne signale aucune exploitation.

## Quelles versions installer ?

Le correctif est rétroporté sur plusieurs branches, ce que GitLab ne réserve qu'aux failles graves : 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 et 18.11.13 (pour toutes les versions de la 7.0 à la 18.11). Aucun contournement n'est proposé : la mise à jour est la seule protection certaine.

> Attention aux instances patchées le 12 octobre : le correctif de la faille CVE-2026-97229, également notée 10,0 sur le même compilateur, ne couvrait que les versions 19.2 et supérieures. Une instance en 19.2 à 19.4 mise à jour à cette date reste vulnérable à CVE-2026-110264.

## Que faire avant la mise à jour ?

Les versions 19.4.3 et 19.3.6 incluent des migrations de base de données : sur un serveur mono-nœud, prévoir une interruption de service. Les déploiements multi-nœuds peuvent suivre la procédure sans interruption de GitLab. En attendant, GitLab publie deux règles de détection au format Sigma, « Onigmo native worker crash » et « Org mode render error burst », qui s'appuient sur les journaux applicatifs pour repérer d'éventuelles tentatives.

## Pourquoi cette faille en rappelle d'autres ?

Il s'agit de la quatrième faille d'exécution de code dans ce moteur d'expressions régulières signalée en un mois par le chercheur joaxcar, et de la première qui touche les versions antérieures à la 19.2. La même livraison corrige onze failles, dont CVE-2026-15723 (8,2, prise de contrôle de compte si le lien automatique SAML et LDAP est activé) et CVE-2026-112212 (7,5, empoisonnement de cache sur les points d'accès OAuth et OpenID Connect avec cache partagé). Nous avions déjà couvert une autre faille notée 10 chez l'éditeur : [la faille GitLab CVE-2026-85706 sur l'API des commits](https://klynlabs.eu/articles/faille-gitlab-cvss-10-lecture-fichiers-api-commits).

## À retenir

- GitLab a corrigé le 21 octobre 2026 la faille CVE-2026-110264, notée 10,0 sur l'échelle CVSS, qui permet une exécution de code à distance sans authentification.
- La faille CVE-2026-110264 touche uniquement les installations GitLab auto-hébergées, de la version 7.0 (2014) à la 18.11 et aux branches 19.x non corrigées.
- GitLab recommande d'installer l'une des versions corrigées (19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 ou 18.11.13) et ne propose aucun contournement.
- Les instances 19.2 à 19.4 patchées le 12 octobre 2026 restent vulnérables à la faille CVE-2026-110264 et doivent être mises à jour de nouveau.
- GitLab ne signale aucune exploitation de la faille CVE-2026-110264, absente du catalogue de la CISA au 22 octobre 2026.

## Source

- [The Hacker News — Critical GitLab Flaw (CVSS 10.0) Could Allow Unauthenticated RCE Across 12 Years of Releases](https://thehackernews.com/2026/10/critical-gitlab-flaw-cvss-100-could.html)

---

Article publié par KLYNLABS, signé Kelvyn. À citer avec son lien : https://klynlabs.eu/articles/gitlab-cve-2026-110264-faille-cvss-10-onigmo-rce