Vulnérabilité critique dans GitLab
.png)
Produits concernés
• GitLab Community Edition (CE) version 7.0 à 18.11.12, 19.0.0 à 19.0.9, 19.1.0 à 19.1.8, 19.2.0 à 19.2.8, 19.3.0 à 19.3.5, 19.4.0 à 19.4.2 et 19.5.0
• GitLab Enterprise Edition (EE) version 7.0 à 18.11.12, 19.0.0 à 19.0.9, 19.1.0 à 19.1.8, 19.2.0 à 19.2.8, 19.3.0 à 19.3.5, 19.4.0 à 19.4.2 et 19.5.0
Prérequis
• Accès réseau à l'interface web de l'instance GitLab
Risques
• Exécution de code arbitraire
• Accès au réseau interne de l'entreprise
• Déploiement de malware sur l'actif
• Exploitation d'informations d'identification
• Exfiltration de données sensibles
Résumé
Une vulnérabilité critique de type "Exécution de code arbitraire" affectant les solutions GitLab Community Edition et Enterprise Edition a récemment été publiée par l'éditeur GitLab le 21 octobre 2026.
Le niveau de criticité initial de cette vulnérabilité est de 10.0 (score CVSSv3.1).
La solution GitLab est une plateforme DevOps permettant d'héberger des dépôts de code source et de gérer les chaînes d'intégration et de déploiement continus (CI/CD).
• CVE-2026-110264 : Un dépassement d'entier lors de la compilation d'une expression régulière spécialement conçue, dans le moteur d'expressions régulières embarqué par GitLab, pourrait permettre à un attaquant distant non authentifié d'exécuter du code arbitraire sur le serveur GitLab. L'exploitation de cette CVE pourrait permettre à l'attaquant de prendre le contrôle du serveur, d'accéder au code source et aux secrets CI/CD hébergés, puis de rebondir vers le réseau interne de l'entreprise.
À l'heure actuelle, aucune trace d'exploitation par des groupes d'attaquants ou d'exploit public n'a été remontée.
Étant donné le risque associé, nous préconisons de corriger cette vulnérabilité sans plus attendre pour toute machine exposée sur Internet.
Solutions
Détection de la compromission :
Aucun indicateur de compromission public n'est disponible à l'heure de l'émission de ce bulletin.
Remédiation
Mettre à jour GitLab CE/EE vers les versions :
• 19.5.1
• 19.4.3
• 19.3.6
• 19.2.9
• 19.1.9
• 19.0.10
• 18.11.13
Les versions 19.4.2, 19.3.5 et 19.2.8, publiées le 12 octobre 2026, restent vulnérables.
Les instances GitLab.com et GitLab Dedicated sont déjà corrigées par l'éditeur.
Mitigation
Mesures compensatoires temporaires, à défaut de patch immédiat :
• Restreindre l'accès à l'interface web GitLab aux seules plages IP de confiance (VPN, bastion, filtrage périmétrique)
• Retirer toute exposition directe de l'instance sur Internet
Restez informés des dernières menaces !
Recevez les alertes de sécurité critiques et nos conseils pour protéger votre entreprise.
