CVE-2026-110264 : GitLab CVSS 10.0 touche 12 ans de versions

Les faits

Le 21 octobre 2026, GitLab a publié en urgence des correctifs pour CVE-2026-110264, une vulnérabilité notée CVSS 10.0 — score maximal. La faille permet à un attaquant distant non authentifié d'exécuter du code arbitraire sur tout serveur GitLab self-managed. GitLab.com (l'instance cloud gérée par GitLab Inc.) était déjà patchée avant l'annonce publique. Seules les instances auto-hébergées sont concernées.

Ce qui rend cette vulnérabilité particulièrement grave est son périmètre historique : elle affecte toutes les versions de GitLab CE et EE depuis la version 7.0, publiée en 2014. Douze ans de développement sans que le bug ne soit détecté. Toute organisation hébergeant un GitLab self-managed non mis à jour expose son dépôt de code source, ses secrets CI/CD, ses clés API et l'ensemble de son pipeline de développement.

Techniquement, CVE-2026-110264 réside dans la façon dont GitLab compile les expressions régulières via Onigmo, le moteur regex utilisé par Ruby. Un integer overflow survient lors de la compilation d'une regex spécialement forgée contenant plus de 32 767 opérateurs de répétition en cascade. Le compilateur Onigmo compte ces opérateurs avec un entier non borné, mais écrit chaque identifiant OP_REPEAT via un cast tronquant, transformant les identifiants au-delà de 32 767 en valeurs négatives. Cette corruption mémoire permet de rediriger le flux d'exécution vers du code contrôlé par l'attaquant.

Un proof-of-concept de niveau crash a été publié sur GitHub le 23 octobre 2026 par le chercheur TahuCryptsi (poc-gitlab-onigmo-cve-2026-110264). Ce PoC démontre le crash de l'interpréteur Ruby 3.4.11 avec GitLab sur environnement Docker, sans inclure d'exploitation weaponisée complète. Selon l'advisory GitLab au 22 octobre, la faille n'était pas encore au catalogue KEV de la CISA. Cependant, la disponibilité d'un PoC crash-level accélère généralement le développement d'exploits weaponisés en quelques jours à quelques semaines.

GitLab a patché 7 branches simultanément — fait exceptionnel révélateur de la gravité : 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 et 18.11.13. Les versions antérieures à 18.11 ne bénéficient d'aucun correctif officiel ; les organisations sur ces branches doivent procéder à une mise à niveau majeure.

Le vecteur d'attaque CVSS est réseau, complexité faible, aucun privilège requis, aucune interaction utilisateur — le pire profil possible. Vecteur complet : AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H, avec un impact élevé sur la confidentialité, l'intégrité et la disponibilité dans un scope modifié. La note 10.0 est le maximum absolu de l'échelle CVSS 3.1.

L'enjeu dépasse la seule exécution de code. Un GitLab self-managed contient typiquement l'intégralité du code source, les fichiers CI/CD avec secrets intégrés, les tokens d'accès aux registres Docker, les clés SSH de déploiement et des artefacts de build sensibles. Une compromission donne à l'attaquant les clés du pipeline DevSecOps complet : empoisonnement de la chaîne logicielle, extraction de secrets, déploiement de backdoors dans le code de production, et accès aux environnements cloud via les credentials intégrés dans les pipelines. C'est le type d'attaque utilisé lors de l'incident SolarWinds en 2020.

Selon les statistiques de Shodan et Censys, des dizaines de milliers d'instances GitLab self-managed sont accessibles depuis l'Internet public. En France, des organismes publics, des collectivités territoriales, des établissements d'enseignement supérieur et des entreprises industrielles hébergent des instances GitLab, parfois exposées sur des réseaux extranet. L'ANSSI a inclus GitLab dans ses recommandations prioritaires du bulletin CERTFR-2026-ACT-044 du 27 octobre 2026.

Impact et exposition

Toute instance GitLab CE ou EE auto-hébergée sur une version antérieure aux releases du 21 octobre 2026 est vulnérable. GitLab.com n'est pas concerné. Les environnements les plus à risque sont les GitLab exposés sur Internet sans authentification préalable en frontal (VPN, reverse proxy avec auth). Même les instances non exposées à Internet peuvent être ciblées depuis un poste compromis en interne. La présence d'un PoC public accélère le risque d'exploitation imminente. Le contenu d'un GitLab compromis — code source, secrets CI/CD, clés de déploiement — constitue une porte d'entrée vers l'ensemble du parc applicatif.

Recommandations

• Mise à jour immédiate : Passez sur la version patchée correspondant à votre branche : 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 ou 18.11.13. Consultez la documentation officielle de mise à jour GitLab selon votre type d'installation (omnibus, Docker, Helm chart).
• Restriction d'accès réseau : En attendant la mise à jour, placez votre instance derrière un VPN ou configurez une whitelist IP au niveau du pare-feu. L'accès public direct depuis Internet doit être coupé si le patch ne peut pas être appliqué dans les 24 heures.
• Rotation des secrets : Après la mise à jour, rotation-ez tous les tokens d'accès personnels, tokens de déploiement, clés SSH et variables CI/CD. Si une compromission est suspectée, considérez tous ces secrets comme exposés.
• Audit des logs : Auditez les logs d'accès GitLab depuis le 21 octobre à la recherche d'activités anormales : accès inhabituels, création de webhooks, modification de pipelines CI/CD, ou connexions depuis des IP inconnues.
• Versions EOL : Si vous êtes sur une version antérieure à 18.11, planifiez une mise à niveau majeure en urgence. Ces versions ne recevront aucun correctif pour CVE-2026-110264.