veilletech.frCe qui se passe
Le 21 octobre 2026, GitLab a publié les versions 19.5.1, 19.4.3, 19.3.6,
19.2.9, 19.1.9, 19.0.10 et 18.11.13 (éditions Community et Enterprise). Elles
corrigent CVE-2026-110264, notée CVSS 10,0
(CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H) : dans certaines conditions, un
utilisateur non authentifié peut exécuter du code arbitraire sur le serveur,
par un dépassement d'entier à la compilation d'une expression régulière forgée.
La faille a été signalée par joaxcar via HackerOne.
GitLab ne dit pas quelles sont ces conditions, ne propose aucun contournement et ne signale aucune attaque ; The Hacker News note qu'elle n'est pas, au moment de son article, dans le catalogue KEV de la CISA. Seules les instances auto-hébergées doivent agir : GitLab.com tourne déjà sur la version corrigée, et les clients Dedicated en 19.3.5-internal0, 19.4.2-internal0 ou plus récent sont couverts.
Pourquoi la portée est si large
Le compilateur d'expressions régulières est Onigmo, le moteur de Ruby, que GitLab embarque dans ses propres paquets et corrige dans ses propres builds. Une faiblesse du moteur existe donc partout où GitLab l'a livré : toutes les versions depuis la 7.0 (2014), jusqu'aux versions corrigées ci-dessous. GitLab a rétroporté le correctif dans 18.11.13, 19.0.10, 19.1.9 et 19.2.9, ce qu'il réserve aux failles graves : sa politique ne couvre normalement que la version courante et les deux précédentes, soit 19.5, 19.4 et 19.3.
Patché le 12 octobre ? Ce n'est plus suffisant
La mise à jour du 12 octobre (19.2.8, 19.3.5, 19.4.2) corrigeait CVE-2026-97229, un autre dépassement dans le même compilateur, traité dans notre fiche du 14 octobre. Les versions d'aujourd'hui sont un cran au-dessus : une instance à jour le 12 est donc de nouveau dans la zone touchée. D'après The Hacker News, c'est la quatrième faille d'exécution de code dans ce moteur signalée par le même chercheur en un mois (dont CVE-2026-93577 et CVE-2026-89078, notées 9,9 mais exigeant un compte, le 23 septembre), et la première à atteindre les versions antérieures à 19.2.
Passer à la bonne version
- 19.5 → 19.5.1 · 19.4 → 19.4.3 · 19.3 → 19.3.6
- 19.2 → 19.2.9 · 19.1 → 19.1.9 · 19.0 → 19.0.10
- 7.0 jusqu'à 18.11 → 18.11.13
Dans le même lot
Onze correctifs de sécurité au total : un critique, les autres de gravité haute, moyenne ou basse. Deux hautes concernent l'authentification :
- CVE-2026-15723 (8,2) : un utilisateur connecté peut prendre le contrôle d'un compte adossé à LDAP, mais seulement si l'administrateur a activé à la fois SAML (OmniAuth) et la liaison automatique LDAP.
- CVE-2026-112212 (7,5) : empoisonnement d'un cache partagé sur les points de découverte OAuth/OIDC, qui peut rediriger certaines connexions vers un serveur contrôlé par l'attaquant.
Comment s'y prendre
- Repérer la branche de chaque instance et installer la version correspondante.
- Prévoir une coupure : les migrations de base de données de 19.4.3 et 19.3.6 s'exécutent pendant la mise à jour, ce qui arrête le service sur un serveur unique. En multi-nœuds, la procédure sans interruption s'applique.
- Chercher des traces avec les deux règles de détection publiées par GitLab (format Sigma, projet TLDR, sur les journaux de l'application) : « Onigmo native worker crash » et « Org mode render error burst ».
Source : GitLab, patch release 19.5.1, 21 octobre 2026. Source en anglais. Compléments : The Hacker News.