Douze ans de versions concernées et un niveau de gravité maximal. Le 21 octobre, GitLab a publié des correctifs de sécurité pour ses éditions Community Edition (CE) et Enterprise Edition (EE), dont un destiné à corriger une vulnérabilité critique notée 10 sur 10 sur l’échelle CVSS. Référencée CVE-2026-110264, elle pourrait permettre à un attaquant distant d’exécuter du code sans authentification sur un serveur vulnérable.

Le défaut réside dans le compilateur d’expressions régulières Onigmo. Un dépassement d’entier, déclenché lors du rendu d’un fichier Org-mode spécialement conçu, peut conduire à l’exécution de code sous le compte système git.

Sept branches corrigées, les versions plus anciennes à migrer

La vulnérabilité concerne les versions de GitLab depuis la 7.0. L’éditeur a publié des correctifs pour sept branches : 18.11.13, 19.0.10, 19.1.9, 19.2.9, 19.3.6, 19.4.3 et 19.5.1. Les installations antérieures à ces versions doivent être mises à niveau. Celles qui fonctionnent sous GitLab 18.10 ou une version antérieure ne disposent pas de correctif dans cette livraison et doivent migrer vers une branche corrigée et prise en charge. Les administrateurs doivent donc recenser les instances encore en service, notamment celles utilisées pour des projets historiques ou des environnements de développement secondaires.

Le CERT-EU recommande d’appliquer les correctifs rapidement, en donnant la priorité aux serveurs exposés à Internet, et de rechercher d’éventuels signes de compromission. GitLab a également publié deux règles de détection destinées à repérer des tentatives d’exploitation. La surveillance des plantages des workers Onigmo et des erreurs de rendu Org-mode peut compléter ces vérifications.

Un risque pour la chaîne de développement

La compromission d’une instance GitLab ne se limiterait pas nécessairement aux dépôts de code hébergés sur le serveur. Dans les entreprises, la plateforme peut aussi centraliser les pipelines CI/CD, les jetons d’accès et les secrets utilisés pour automatiser les livraisons logicielles. Selon les droits accessibles depuis le serveur compromis, un attaquant pourrait chercher à modifier du code, à récupérer des identifiants ou à atteindre d’autres composants du système d’information. À ce stade, les sources consultées ne font pas état d’une exploitation confirmée de cette vulnérabilité dans des attaques en cours. L’absence de signalement public ne dispense toutefois pas les organisations de vérifier leurs journaux, en particulier lorsque leurs instances sont accessibles depuis l’extérieur. GitLab indique que ses services hébergés, dont GitLab.com, disposent des correctifs. Les entreprises exploitant leur propre infrastructure doivent, elles, procéder à la mise à niveau de leurs installations. 

Cette alerte intervient après la correction, le 12 octobre, de la vulnérabilité CVE-2026-97229, elle aussi notée 10 sur 10. Elle concernait le compilateur d’expressions régulières utilisé dans les configurations CI/CD et pouvait permettre à un attaquant non authentifié d’exécuter du code à distance. Les deux failles reposent sur un problème de dépassement d’entier dans le traitement des expressions régulières, mais empruntent des points d’entrée différents. Le correctif du 12 octobre ne protège donc pas contre la vulnérabilité CVE-2026-110264. Les administrateurs ayant déjà mis à jour leurs instances doivent vérifier à nouveau leur version et appliquer les correctifs du 21 octobre.