CVE-2026-110264 : GitLab RCE CVSS 10 sans auth depuis 2014

Les faits

Le 21 octobre 2026, GitLab a publié une série de correctifs d'urgence pour remédier à CVE-2026-110264, une vulnérabilité critique de type Remote Code Execution (RCE) notée CVSS 10.0 — le score maximal possible. Cette faille affecte toutes les versions de GitLab Community Edition (CE) et Enterprise Edition (EE) depuis la version 7.0, publiée en 2014, ce qui représente plus de douze ans de versions affectées et un parc mondial de serveurs self-managed considérable.

La root cause de CVE-2026-110264 est un integer overflow (CWE-190) dans le compilateur d'expressions régulières. La chaîne d'exploitation implique plusieurs composants : GitLab intègre org-ruby pour le rendu des fichiers au format Org Mode (format de balisage popularisé par Emacs). Lorsque GitLab affiche un fichier .org, org-ruby analyse les métadonnées du fichier, notamment les mots-clés de séquence de statut définis via la directive #+TODO:. org-ruby passe directement le contenu de cette directive à Regexp.new — le constructeur d'expressions régulières de Ruby — sans sanitisation préalable.

Le problème survient au niveau du moteur regex sous-jacent : Onigmo (le moteur regex utilisé par Ruby) stocke les compteurs de répétition dans des entiers signés 16 bits, dont la valeur maximale est 32 767. Si un attaquant fournit une directive #+TODO: contenant une expression avec plus de 32 767 répétitions génériques, le compteur dépasse sa capacité et revient à une valeur négative — un integer wraparound. Ce dépassement provoque un accès mémoire hors limites (out-of-bounds write) au moment de l'évaluation de l'expression régulière, créant une primitive de corruption mémoire qu'un attaquant expérimenté peut transformer en exécution de code arbitraire sur le serveur GitLab.

Le vecteur d'attaque est particulièrement accessible : il suffit qu'un attaquant crée ou charge un fichier .org contenant la payload malveillante dans un dépôt public, ou même soumette une merge request avec ce fichier dans un dépôt privé si l'attaquant a accès à des dépôts — mais la surface d'attaque la plus préoccupante concerne les instances GitLab avec des dépôts publics ou dont le rendu de fichiers est accessible sans authentification. Sur les instances avec accès public activé (comportement courant pour les forges open source), l'exploitation ne nécessite aucun compte GitLab.

Le score CVSS 10.0 se justifie par le vecteur d'attaque (AV:N — réseau), la faible complexité d'attaque (AC:L), l'absence de privilèges requis (PR:N), l'absence d'interaction utilisateur (UI:N), le changement de périmètre (S:C), et l'impact maximal sur la confidentialité, l'intégrité et la disponibilité (C:H/I:H/A:H). Le changement de périmètre (Scope:Changed) est particulièrement significatif : l'exécution de code ne se limite pas au processus GitLab mais peut s'étendre à l'infrastructure hôte selon la configuration de déploiement.

La découverte a été portée à la connaissance de l'équipe sécurité de GitLab dans le cadre d'un programme de divulgation responsable. gitlab.com (l'instance SaaS hébergée par GitLab) a reçu le patch en amont de la divulgation publique, protégeant les utilisateurs de la plateforme cloud avant l'annonce. Les chercheurs d'Aikido Security ont été parmi les premiers à analyser publiquement la vulnérabilité après la publication du bulletin, confirmant la faisabilité de l'exploitation.

La répartition des versions corrigées couvre l'ensemble des branches maintenues : 19.5.1 (branche stable la plus récente), 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, et 18.11.13 pour les utilisateurs encore sur la branche 18.x. Toute version antérieure à ces correctifs sur les branches correspondantes est vulnérable. GitLab recommande une mise à jour immédiate, qualifiant cette publication de Critical Patch Release.

L'ampleur du parc affecté est exceptionnelle : GitLab est l'une des forges logicielles les plus répandues dans les entreprises, administrations, et organisations de recherche. Des instances self-managed sont déployées dans des environnements où la confidentialité du code source et la continuité du pipeline CI/CD sont critiques. Un accès RCE non authentifié à un serveur GitLab expose potentiellement l'intégralité du code source hébergé, les secrets stockés dans les variables CI/CD (credentials cloud, clés API, certificats), ainsi que la possibilité d'injecter du code malveillant dans les pipelines de build — un scénario de supply chain attack de premier ordre.

Impact et exposition

Les instances GitLab self-managed accessibles depuis Internet constituent la surface d'attaque primaire. Selon les données Shodan et les estimations de la communauté sécurité, plusieurs dizaines de milliers d'instances GitLab CE/EE sont exposées publiquement sur Internet. Parmi celles-ci, une fraction significative exécute des versions maintenues depuis des années sans mise à jour régulière, augmentant d'autant l'exposition réelle.

L'absence d'authentification requise rend cette vulnérabilité exploitable par n'importe quel attaquant ayant accès réseau à l'instance. Pour les instances GitLab avec accès public activé (enregistrement public, dépôts publics), l'exploitation est triviale à déclencher : créer un compte, créer un dépôt public avec un fichier .org malveillant, et naviguer vers ce fichier suffit à déclencher le rendu et potentiellement l'exploitation. Pour les instances entièrement privées, l'attaquant nécessite a minima un accès guest à un dépôt — une condition beaucoup plus permissive que l'accès administrateur normalement requis pour les opérations sensibles.

L'impact sur les pipelines CI/CD est particulièrement préoccupant dans le contexte actuel de la sécurité de la chaîne d'approvisionnement logicielle. Un attaquant obtenant une exécution de code sur un serveur GitLab peut modifier silencieusement des pipelines CI/CD pour injecter des backdoors dans les artefacts de build, créant un vecteur de compromission pour tous les utilisateurs des logiciels construits sur cette forge.

Recommandations immédiates

• Mettre à jour GitLab vers 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 ou 18.11.13 selon la branche utilisée — GitLab Critical Patch Release du 21 octobre 2026
• Si la mise à jour immédiate est impossible, désactiver le rendu des fichiers .org dans la configuration GitLab ou bloquer l'accès public à l'instance le temps du patch
• Auditer les logs d'accès aux endpoints de rendu de fichiers pour détecter des requêtes ciblant des fichiers .org avec des payloads inhabituelles
• Vérifier l'intégrité des pipelines CI/CD et des configurations de secrets pour détecter toute modification non autorisée
• Les instances gitlab.com (SaaS hébergé) sont déjà protégées, seules les installations self-managed sont concernées