GitLab : seconde RCE non authentifiée CVSS 10.0 en un mois (AVI-1363)

Le CERT-FR a publié le 22 octobre l'avis CERTFR-2026-AVI-1363, qui relaie le correctif de sécurité GitLab du 21 octobre. La faille à traiter en priorité est CVE-2026-110264, notée CVSS 10.0 : un débordement d'entier lors de la compilation d'une expression régulière spécialement conçue, qui permet à un utilisateur non authentifié d'exécuter du code sur un serveur GitLab auto-hébergé. C'est la deuxième RCE regex de sévérité maximale du mois.

Ce que fait la faille

D'après les notes de version de GitLab, CVE-2026-110264 est un débordement d'entier survenant à la compilation d'une expression régulière ; « un utilisateur non authentifié pourrait potentiellement exécuter du code arbitraire sur le serveur ». Le vecteur est CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H — réseau, sans privilège, sans interaction, périmètre modifié. GitLab n'a pas détaillé les « conditions » déclenchantes.

Versions affectées et corrigées

Toutes les éditions Community (CE) et Enterprise (EE) depuis la 7.0 (2014) sont concernées. Les premières versions corrigées, par branche maintenue, sont dans la note de version 19.5.1 :

• 7.0 à 18.11, avant 18.11.13
• 19.0 avant 19.0.10
• 19.1 avant 19.1.9
• 19.2 avant 19.2.9
• 19.3 avant 19.3.6
• 19.4 avant 19.4.3
• 19.5 avant 19.5.1

GitLab.com applique déjà le correctif ; l'exposition concerne les instances auto-hébergées. Le même lot corrige onze autres failles, dont une prise de contrôle de compte via LDAP (CVE-2026-15723) et un empoisonnement de cache OAuth/OIDC (CVE-2026-112212).

Statut d'exploitation

GitLab indique n'avoir aucun signe d'exploitation, et la faille ne figurait pas au catalogue KEV de la CISA à la publication. Aucun PoC public, aucun contournement provisoire : la mise à jour est la seule protection proposée.

Que faire

1. Mettez à jour vers la première version corrigée de votre branche. Pour toute instance auto-hébergée exposée sur Internet, c'est un correctif du jour.
2. Si vous avez corrigé le 12 octobre, vous pouvez rester exposé. Le correctif du 12 ne couvrait que 19.2, 19.3 et 19.4 ; les branches 18.11, 19.0 et 19.1 n'avaient pas de correctif avant celui-ci.
3. Priorisez les instances qui traitent des entrées non fiables : projets publics, inscription ouverte, tout point où un tiers peut influencer une requête atteignant le compilateur regex.
4. Si vous ne pouvez pas corriger immédiatement, placez le frontal web derrière une authentification ou une liste d'autorisation.
5. Examinez les journaux de jobs et l'activité des runners des instances exposées, à la recherche d'exécutions de commandes inattendues depuis la publication.

Contexte

Deux RCE CVSS 10.0 dans le compilateur d'expressions régulières de GitLab en neuf jours, ce n'est pas un hasard. Nous avons couvert la première, CVE-2026-97229, le 12 octobre : même plafond de sévérité, même famille de débordement, même zone de code. CVE-2026-110264 est le tour suivant du durcissement — un débordement voisin que le premier correctif n'avait pas fermé, cette fois rétroporté sur une décennie de versions. Ce compilateur analyse des entrées influençables par un attaquant sur un serveur qui détient le code source, des secrets et des clés de déploiement. Traitez ce chemin comme hostile et gardez une cadence de correctifs serrée : d'autres failles sont à prévoir dans ce coin du code.