Dev · Sécurité
GitLab corrige une faille RCE notée CVSS 10,0
GitLab a publié des correctifs pour les branches CE et EE 19.5, 19.4, 19.3, 19.2, 19.1, 19.0 et 18.11.
Ils corrigent 12 failles, dont CVE-2026-110264, une vulnérabilité d’exécution de code à distance non authentifiée notée CVSS 10,0 et présente depuis la version 7.0. GitLab demande aux exploitants d’instances autogérées de mettre à jour. Aucune attaque n’est connue.
GitLab a publié mercredi des mises à jour de sécurité pour la Community Edition (CE) et l’Enterprise Edition (EE). Les versions concernées sont 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 et 18.11.13. Ces versions apportent des corrections de bugs et éliminent 12 failles. Les branches plus anciennes 19.2.9, 19.1.9, 19.0.10 et 18.11.13 ne corrigent toutefois que la vulnérabilité critique.
CVE-2026-110264 reçoit une note CVSS de 10,0. Dans certaines conditions, un attaquant non authentifié peut provoquer un dépassement d’entier lors de la compilation d’expressions régulières spécialement préparées, puis exécuter du code arbitraire sur le serveur. Toutes les versions de GitLab à partir de 7.0 sont concernées. Aucune attaque n’a été signalée à ce jour.
Les 11 autres failles sont corrigées uniquement dans 19.3.6, 19.4.3 et 19.5.1. CVE-2026-15723 affiche un score CVSS de 8,2. Elle permet à un utilisateur authentifié de prendre le contrôle de comptes LDAP appartenant à d’autres personnes, sans action de leur part, lorsque OmniAuth-SAML et LDAP-Auto-Linking sont activés simultanément. CVE-2026-112212 obtient 7,5. Des attaquants non authentifiés peuvent modifier le document de découverte OAuth/OIDC dans un cache partagé et rediriger certains flux OAuth vers un serveur qu’ils contrôlent.
Cinq autres failles sont classées moyennes : CVE-2026-12664 avec un score CVSS de 6,8, CVE-2026-16255 avec 5,9, CVE-2026-105777 avec 4,3, CVE-2026-13319 avec 4,3 et CVE-2026-112378 avec 4,3. Quatre failles sont classées faibles : CVE-2026-105711, CVE-2026-14288, CVE-2026-112326 et CVE-2026-103515.
GitLab recommande une mise à jour immédiate de toutes les installations autogérées. Pour corriger les 12 failles, il faut passer à 19.3.6, 19.4.3 ou 19.5.1. GitLab.com utilise déjà une version corrigée. Les instances GitLab-Dedicated sont protégées à partir de 19.3.5-internal0 et de 19.4.2-internal0. GitLab fournit enfin deux règles de détection pour les installations autogérées, afin d’identifier les tentatives d’exploitation de la faille critique.
Tribune des lecteurs
Pas encore de contributions — lance le débat.
Lance la discussion
Pas de compte ni de mot de passe — saisis simplement ton adresse e-mail et nous t’envoyons un lien de connexion à usage unique. Première visite ? Tout se met en place automatiquement.
Ton évaluation sera appliquée automatiquement après ta connexion.
Vérifie ta boîte mail
Nous avons envoyé un lien de connexion à …. Ouvre-le sur cet appareil — cet onglet te connectera automatiquement.
Rien reçu ? Vérifiez le dossier spam — et marquez le message « Non spam » pour qu'il arrive directement la prochaine fois.