Skip to content
Hacker Posts

GitLab 19.5.1 / 19.4.3 / 19.3.6 : 12 CVE dont un risque RCE (CERTFR-2026-AVI-1363)

Le CERT-FR répercute le palier GitLab du 21 octobre : 12 CVE corrigées en 19.5.1, 19.4.3 et 19.3.6, avec risque d'exécution de code à distance. Les instances self-managed sont la cible à traiter.

Publié le 3 min de lecture
cvegitlabalertecert-fr

Le CERT-FR a publié le 22 octobre 2026 l'avis CERTFR-2026-AVI-1363, qui répercute le palier de sécurité GitLab du 21 octobre. Les versions 19.5.1, 19.4.3 et 19.3.6 (Community et Enterprise Edition) corrigent 12 vulnérabilités. Parmi les risques recensés par le CERT-FR figure l'exécution de code arbitraire à distance. GitLab.com tourne déjà sur le palier patché ; les installations self-managed sont la cible à traiter.

Versions concernées

D'après la note de palier GitLab et l'avis CERT-FR :

  • GitLab CE/EE 19.5.x antérieures à 19.5.1
  • GitLab CE/EE 19.4.x antérieures à 19.4.3
  • GitLab CE/EE antérieures à 19.3.6

Les branches plus anciennes ne reçoivent pas de correctif dans ce palier ; sur une branche non supportée, la montée vers une version maintenue est le seul chemin de remédiation.

Risques

Le CERT-FR recense pour ce palier :

  • exécution de code arbitraire à distance ;
  • atteinte à la confidentialité des données ;
  • contournement de la politique de sécurité ;
  • déni de service.

CVE référencées

Les 12 CVE listées par l'avis :

CVE-2026-103515  CVE-2026-105711  CVE-2026-105777  CVE-2026-110264
CVE-2026-112212  CVE-2026-112326  CVE-2026-112378  CVE-2026-12664
CVE-2026-13319   CVE-2026-14288   CVE-2026-15723   CVE-2026-16255

Le CERT-FR renvoie au bulletin de l'éditeur pour la correspondance détaillée entre chaque CVE, sa sévérité et le composant affecté. GitLab applique son embargo habituel : les détails techniques (tickets HackerOne, issues internes) sont publiés 30 jours après la sortie du correctif, soit autour du 20 novembre 2026 pour ce palier.

Statut d'exploitation

Aucune exploitation active n'est documentée à la date de l'avis, et aucun PoC public n'est signalé. La fenêtre de risque s'ouvrira à la levée de l'embargo à J+30, lorsque la description de chaque bug deviendra publique.

Que faire

  1. Mettre à niveau dès aujourd'hui vers 19.5.1, 19.4.3 ou 19.3.6 selon la branche en production. La page des paliers GitLab recense la chaîne complète des releases.
  2. Prioriser les instances self-managed exposées : interface web accessible depuis Internet, Container Registry, endpoints API.
  3. Ne pas attendre la levée d'embargo. Patcher avant J+30 est tout l'intérêt de la fenêtre : au 30e jour, la surface d'attaque devient documentée publiquement.
  4. Périmètre NIS2 : consigner l'avis CERTFR-2026-AVI-1363 dans le suivi du délai de traitement pour les entités régulées hébergeant leur GitLab.

Contexte

C'est un nouveau palier GitLab répercuté par le CERT-FR dans une cadence quasi-mensuelle désormais stable : après CERTFR-2026-AVI-0799 (palier 19.1.1) et CERTFR-2026-AVI-0850 (palier 19.1.2) cet été, l'avis 1363 porte sur 12 CVE et, pour la première fois dans cette série récente, mentionne explicitement un risque d'exécution de code à distance. Le point d'attention structurel reste le même : sur self-managed, le vrai danger n'est pas le jour de la sortie mais le 30e, quand l'éditeur publie les issues HackerOne sous-jacentes.

Articles liés