CVE-2026-110264 : GitLab CVSS 10.0, RCE non authentifié

Les faits

Le 21 octobre 2026, GitLab a publié un correctif d'urgence hors-cycle pour CVE-2026-110264, une faille d'exécution de code à distance (RCE) non authentifiée ayant obtenu un score CVSS 4.0 de 10.0 — le maximum absolu sur l'échelle de sévérité internationale. La vulnérabilité touche toutes les installations self-managed de GitLab CE (Community Edition) et EE (Enterprise Edition) depuis la version 7.0, publiée en 2014, soit plus de douze ans de releases impactées.

Techniquement, la faille réside dans Onigmo, le moteur d'expressions régulières bundlé avec Ruby et intégré dans GitLab. Lors de la compilation d'une expression régulière spécialement forgée, un débordement d'entier (integer overflow) se produit, permettant à un attaquant non authentifié de provoquer l'exécution de code arbitraire côté serveur. Le vecteur d'attaque est réseau, la complexité d'exploitation est faible, aucun privilège préalable n'est requis et aucune interaction utilisateur n'est nécessaire — les quatre facteurs qui combinés justifient le score maximal.

La gravité est amplifiée par le périmètre d'exposition : GitLab héberge les dépôts de code source, les pipelines CI/CD, les secrets (tokens, clés API, certificats), ainsi que l'intégralité de la chaîne de développement logiciel. Un attaquant exploitant CVE-2026-110264 sur une instance self-managed non patchée obtient un accès complet à l'infrastructure DevSecOps — pipelines compris. Le potentiel de compromission de supply chain est exceptionnel : injection de code malveillant dans des artefacts de build, exfiltration de secrets CI/CD, modification silencieuse de dépôts entiers.

GitLab.com (instance cloud managée) ainsi que les tenants GitLab Dedicated ont été patchés avant la publication publique du bulletin de sécurité le 21 octobre. En revanche, les instances self-managed déployées en entreprise, chez des éditeurs logiciels, dans des administrations et des établissements d'enseignement restent vulnérables tant que la mise à jour n'a pas été appliquée. Aikido Security, qui a été parmi les premiers à alerter publiquement le 22 octobre 2026, estime que plusieurs centaines de milliers d'instances self-managed sont actives dans le monde, une fraction significative étant directement exposée sur Internet.

Le bug se situe dans Onigmo, un composant partagé avec Ruby MRI — ce qui, selon les chercheurs d'Aikido Security, pourrait potentiellement élargir la surface d'attaque à d'autres applications Ruby exposées utilisant ce moteur de regex. La recommandation immédiate : isoler les instances GitLab non patchées derrière un pare-feu en attendant le déploiement du correctif.

Les versions corrigées distribuées par GitLab sont : 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 et 18.11.13. GitLab indique ne pas avoir connaissance d'exploitation active dans la nature au 22 octobre 2026. La CVE n'est pas encore inscrite au catalogue CISA KEV (Known Exploited Vulnerabilities). Toutefois, l'historique des failles similaires — RCE non authentifiées dans des plateformes DevOps massivement déployées — montre systématiquement une exploitation dans les jours suivant la publication d'un advisory public.

Cette divulgation intervient dans un contexte de forte pression sur les équipes de sécurité, qui doivent simultanément gérer les suites du Patch Tuesday d'octobre 2026 — record absolu avec 1 413 CVE corrigées par Microsoft — et les failles PHP2Shell CVE-2026-109618 et CVE-2026-109619 (CVSS 9.2, exploitation active documentée). La concurrence entre priorités de patching représente un risque de glissement de CVE-2026-110264 dans les angles morts opérationnels de nombreuses DSI.

Upgrader GitLab en production n'est par ailleurs pas une opération anodine. GitLab impose un chemin de migration séquentiel : on ne peut pas sauter directement de la version 15.x à la 19.5.1 sans passer par des jalons intermédiaires, chacun nécessitant une migration de base de données. Pour une organisation avec des centaines de développeurs dépendants de GitLab, cette opération peut prendre plusieurs jours de préparation et requiert une fenêtre de maintenance planifiée. L'isolation réseau préalable est donc la mesure de mitigation temporaire incontournable.

Impact et exposition

Sont concernées toutes les instances GitLab CE/EE self-managed antérieures aux versions corrigées, depuis la 7.0 (2014). Ce spectre couvre les entreprises technologiques, ESN, éditeurs logiciels, administrations publiques, universités et laboratoires de recherche. Les instances exposées directement sur Internet sans restriction d'accès IP constituent la menace la plus immédiate. GitLab.com et les tenants Dedicated ne sont pas affectés.

Recommandations

• Patcher en urgence vers l'une des versions corrigées : 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 ou 18.11.13
• En attente du patch, restreindre l'accès réseau à l'instance GitLab aux seules IP autorisées via pare-feu ou ACL
• Auditer les logs d'accès et les activités anormales sur les pipelines CI/CD depuis le 21 octobre 2026
• Inventorier toutes les instances GitLab self-managed dans votre périmètre, y compris celles hébergées par des tiers ou filiales
• Vérifier l'intégrité des dépôts critiques et des secrets stockés en variables CI/CD