GitLab a publié le 21 octobre des correctifs de sécurité pour ses éditions Community Edition (CE) et Enterprise Edition (EE). Parmi eux figure une vulnérabilité critique, notée 10 sur 10 sur l’échelle CVSS, qui sert à mesurer la gravité d’une faille. L’éditeur demande aux administrateurs de mettre leurs installations à jour sans attendre.
La faille, référencée CVE-2026-110264, pourrait permettre à un attaquant distant d’exécuter du code sans authentification sur un serveur vulnérable. Elle réside dans le compilateur d’expressions régulières Onigmo, un composant chargé de traiter les motifs de recherche de texte. Un dépassement d’entier, c’est-à-dire un calcul qui dépasse la valeur prévue pour le stocker, peut se produire lors du rendu d’un fichier Org-mode spécialement conçu, et conduire à l’exécution de code sous le compte système git.
Sept branches corrigées, les versions plus anciennes à migrer
La vulnérabilité touche les versions de GitLab depuis la 7.0. L’éditeur a publié des correctifs pour sept branches : 18.11.13, 19.0.10, 19.1.9, 19.2.9, 19.3.6, 19.4.3 et 19.5.1. Les installations antérieures à ces versions doivent être mises à niveau.
Celles qui fonctionnent sous GitLab 18.10 ou une version antérieure ne disposent pas de correctif dans cette livraison. Elles doivent donc migrer vers une branche corrigée et prise en charge. Les administrateurs sont invités à recenser les instances encore en service, notamment celles utilisées pour des projets historiques ou des environnements de développement secondaires.
Le CERT-EU recommande d’appliquer les correctifs rapidement, en donnant la priorité aux serveurs exposés à Internet, et de rechercher d’éventuels signes de compromission. GitLab a également publié deux règles de détection destinées à repérer des tentatives d’exploitation. La surveillance des plantages des workers Onigmo et des erreurs de rendu Org-mode peut compléter ces vérifications.
Un risque pour la chaîne de développement
La compromission d’une instance GitLab ne se limiterait pas nécessairement aux dépôts de code hébergés sur le serveur. Dans les entreprises, la plateforme peut aussi centraliser les pipelines CI/CD, les jetons d’accès et les secrets utilisés pour automatiser les livraisons logicielles. Selon les droits accessibles depuis le serveur compromis, un attaquant pourrait chercher à modifier du code, à récupérer des identifiants ou à atteindre d’autres composants du système d’information.
À ce stade, les sources consultées ne font pas état d’une exploitation confirmée de cette vulnérabilité dans des attaques en cours. L’absence de signalement public ne dispense toutefois pas les organisations de vérifier leurs journaux, en particulier lorsque leurs instances sont accessibles depuis l’extérieur. GitLab indique que ses services hébergés, dont GitLab.com, disposent des correctifs. Les entreprises qui exploitent leur propre infrastructure doivent, elles, procéder à la mise à niveau de leurs installations.
Cette alerte intervient après la correction, le 12 octobre, de la vulnérabilité CVE-2026-97229, également notée 10 sur 10. Elle concernait le compilateur d’expressions régulières utilisé dans les configurations CI/CD et pouvait permettre à un attaquant non authentifié d’exécuter du code à distance. Les deux failles reposent sur un problème de dépassement d’entier dans le traitement des expressions régulières, mais empruntent des points d’entrée différents. Le correctif du 12 octobre ne protège donc pas contre la vulnérabilité CVE-2026-110264. Les administrateurs ayant déjà mis à jour leurs instances doivent vérifier à nouveau leur version et appliquer les correctifs du 21 octobre.
Product offers are temporarily unavailable.
