cyberdivision

Repartage — contenu de Stéphane Morico

Découverte d'une faille de gravité extrême dans GitLab : RCE sans authentification touchant 12 ans de versions ce 21 octobre 2026.

GitLab a publié le 21 octobre 2026 un correctif critique pour CVE-2026-110264, notée 10.0/10.0 CVSS — la note maximale.

Sous certaines conditions, un attaquant non authentifié peut exécuter du code arbitraire sur un serveur GitLab auto-hébergé, via un débordement d'entier (integer overflow) lors de la compilation d'une expression régulière malveillante.

La faille se trouve dans Onigmo, le moteur d'expressions régulières de Ruby, embarqué dans GitLab depuis la version 7.0 (2014) : toutes les versions publiées depuis sont exposées.

Signalée par le chercheur joaxcar via HackerOne, c'est sa 4e faille dans ce moteur en un mois — mais la première touchant les versions antérieures à

Risques : vol de code source, de secrets et de jetons CI/CD, compromission de la chaîne de build (supply chain), pivot vers l'infrastructure interne, sabotage de la plateforme.

Attention, la faille n'est pas au catalogue KEV de la CISA (USA)

Aucune exploitation n'est encore observée ou documentée à ce jour.

⚠️ Petit piège : Les administrateurs qui ont appliqué la mise à jour du 12 octobre 2026 (CVE-2026-97229, versions 19.2.8 / 19.3.5 / 19.4.2) ne sont donc pas protégés contre cette nouvelle faille.

Pour les version 19.4.3 et 19.3.6 il y a donc une indisponibilité du service à prévoir sur une instance mono-nœud pendant leur exécution (Si votre DSI ou DG n'est pas Ok, donnez-nous son nom, on peux discuter)

19.4.3 : migrations post-déploiement supplémentaires

Les déploiements multi-nœuds peuvent appliquer le correctif sans interruption via la procédure zero-downtime de GitLab (pas d’indisponibilité à prévoir)

Solution : aucune solution de contournement — la mise à jour est la seule protection. Installer 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 ou 18.11.13 selon la branche (les quatre dernières sont des backports exceptionnels).

Attention : migrations de base de données (19.4.3, 19.3.6) impliquant un downtime sur instance mono-nœud.

Recommandations : Voir notre article ci-dessous.

Ne vous faites pas shooter, patchez. (Attention interruption de service à prévoir sur certaines versions)

Si, votre DSI ou DG n'est pas Ok, éviter le coup de boule, c'est illégal, donnez-nous son nom en MP (selon législation en vigeur dans votre pays et dans le respect de vos policy), on peux discuter.

Sources :

– The Hacker News, 21/10/2026.

– GitLab Critical Patch Release 21/10/2026 ;

– Notre article complet : https://lnkd.in/dDWVhm7K

– Article The Hacker News : https://lnkd.in/daHZ5xvN

– Article Gitlab : https://lnkd.in/dr5csYJX

Les directions et équipes cyber qui veulent protéger leurs organisations, code source, données et secrets, celles de leurs clients et partenaires et rester conformes aux legislations, normes et recommandations de cybersécurité doivent agir dès aujourd'hui.

Sources LinkedIn

• Conversation LinkedIn : voir la publication
• Profil : Pierre Jean Duvivier dit Sage (LinkedIn)
• Auteur partagé : Stéphane Morico (LinkedIn)