GitLab : faille critique d'exécution de code à distance sans authentification (CVSS 10), 19.5.1 et correctifs
Les instances GitLab auto-hébergées doivent être mises à jour tout de suite : une faille critique (CVE-2026-110264, CVSS 10) permet l'exécution de code sans authentification. Correctifs en 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 et 18.11.13.
par Frédéric Vagner · publié le · mis à jour
- Sévérité
- Critique CVSS 10,0 / 10
- CVE
- CVE-2026-110264 CVE-2026-15723 CVE-2026-112212 CVE-2026-12664 CVE-2026-16255 CVE-2026-105777 CVE-2026-13319 CVE-2026-112378 CVE-2026-105711 CVE-2026-14288 CVE-2026-112326
- Produits
- GitLab
- Versions touchées
- GitLab CE/EE 7.0 à 18.11.12 ; 19.0 < 19.0.10 ; 19.1 < 19.1.9 ; 19.2 < 19.2.9 ; 19.3 < 19.3.6 ; 19.4 < 19.4.3 ; 19.5 < 19.5.1
- Versions corrigées
- 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13
- Correctif
- Correctif disponible
- Source
- docs.gitlab.com ↗
Qui est concerné ?
Toutes les installations GitLab CE/EE auto-hébergées (Omnibus, sources, Helm) : la faille critique touche toutes les versions de 7.0 à 18.11.12, 19.0 avant 19.0.10, 19.1 avant 19.1.9, 19.2 avant 19.2.9, 19.3 avant 19.3.6, 19.4 avant 19.4.3 et 19.5 avant 19.5.1. GitLab.com et GitLab Dedicated (19.3.5-internal0, 19.4.2-internal0 ou plus récent) sont déjà corrigés. Notre propre instance GitLab (gitlab.haisoft.net) et celles de nos clients sont concernées si elles ne sont pas à jour.
Risque
Le correctif du 21/10/2026 traite 12 failles. La plus grave, CVE-2026-110264 (CVSS 10,0), est un dépassement d'entier dans le compilateur d'expressions régulières : un utilisateur non authentifié peut, sous certaines conditions, exécuter du code arbitraire sur le serveur GitLab. Découverte via HackerOne. GitLab publie deux règles de détection (« Onigmo native worker crash » et « Org mode render error burst ») pour repérer des tentatives. Exploitation active : non confirmée à ce jour (absente du catalogue CISA KEV au 23/10/2026).
| CVE | Faille | Gravité (CVSS) |
|---|---|---|
| CVE-2026-110264 | Dépassement d'entier du compilateur d'expressions régulières : exécution de code à distance sans authentification | Critique (10,0) |
| CVE-2026-15723 | Authentification : prise de contrôle d'un compte LDAP via l'association automatique OmniAuth SAML/LDAP | Haute (8,2) |
| CVE-2026-112212 | Empoisonnement du cache des points de découverte OAuth/OIDC | Haute (7,5) |
| CVE-2026-12664 | Champ GraphQL d'adresse e-mail de work item : contournement de la portée d'un jeton read_api | Moyenne (6,8) |
| CVE-2026-16255 | Verrou d'appartenance SAML/LDAP incomplet (EE) | Moyenne (5,9) |
| CVE-2026-105777 | Exposition d'identifiants internes dans des en-têtes de réponse | Moyenne (4,3) |
| CVE-2026-13319 | API des jalons de groupe : lecture de métadonnées de projets privés | Moyenne (4,3) |
| CVE-2026-112378 | En-tête de l'AI Gateway : accès à des fonctions IA payantes (EE) | Moyenne (4,3) |
| CVE-2026-105711 | Cache du rendu des titres de merge request : lecture du titre d'un ticket confidentiel | Basse (3,5) |
| CVE-2026-14288 | Politique d'approbation de merge request contournable (EE) | Basse (3,1) |
Deux autres failles de gravité basse (nettoyage d'exception dans les résultats de sécurité, EE ; verrou d'administration Duo pour Amazon Q, EE) figurent dans le bulletin ; une de leurs CVE est CVE-2026-112326, score non relevé.
Corriger
Passer à 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 ou 18.11.13. Seules ces branches reçoivent le correctif de la faille critique ; les branches 19.3 et suivantes reçoivent les 12 correctifs. Debian ne fournit pas GitLab dans ses versions stables (le tracker Debian ne le référence pas) : la mise à jour passe par le dépôt paquet officiel GitLab (Omnibus).
# Omnibus (Debian / Ubuntu)
sudo apt update && sudo apt install gitlab-ce
# AlmaLinux
sudo dnf upgrade gitlab-ceContournement
Aucun contournement n'est indiqué par l'éditeur pour la faille critique : mettre à jour, et en attendant limiter l'accès réseau à l'instance (VPN, liste d'adresses autorisées) si elle est exposée sur Internet.
Vérifier
sudo gitlab-rake gitlab:env:info | grep -i "GitLab information" -A 3
sudo gitlab-ctl status
dpkg -l gitlab-ce | tail -1 # ou : rpm -q gitlab-ceRechercher dans les journaux les signatures indiquées par GitLab (plantage du worker Onigmo natif, rafale d'erreurs de rendu Org mode).