GitLab CVE-2026-110264 : dix sur dix sur le code source

CVE-2026-110264, un dépassement d'entier dans Onigmo, le moteur d'expressions régulières embarqué avec l'environnement Ruby de GitLab, noté 10,0. Il touche GitLab Community et Enterprise autohébergés jusqu'à la 19.5.0.

Les versions corrigées sont 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 et 18.11.13. La faille a été signalée par le programme HackerOne de GitLab.

GitLab la juge exploitable à distance, sans compte. L'éditeur n'a pas publié les conditions exactes et ne propose aucun contournement.

Au 22 octobre, aucune exploitation n'avait été signalée, et la faille ne figurait pas au catalogue des vulnérabilités exploitées de la CISA.

Lors de la compilation d'une expression régulière, un calcul de taille déborde et le moteur écrit au-delà de la mémoire qu'il avait réservée.

Dans les bonnes conditions, cette corruption de mémoire devient une exécution de code sur le serveur, avec les droits du processus GitLab.

Exécution de code sur le serveur qui détient le code source, les variables CI/CD et les jetons des runners. Cela ouvre les dépôts, les secrets des pipelines et les identifiants cloud, et chaque version qui y est construite.

Passez à la version corrigée de votre branche. Si vous ne pouvez pas mettre à jour tout de suite, retirez l'instance d'Internet, derrière un VPN.

Si l'instance était exposée, renouvelez les jetons des runners et les secrets CI/CD après la mise à jour, et passez en revue les commits et les changements de pipeline récents.

Sources : GitLab, version corrective critique 19.5.1 (21 octobre 2026), fiche CVE-2026-110264.

Formation défensive : l'attaque est montrée dans son principe seulement, sans étape d'exploitation, outil ni charge utile. Les sorties de commande et les configurations sont des exemples ; vérifiez votre plateforme et votre version dans la documentation du constructeur.