Exécution de code à distance affectant GitLab CE/EE
GitLab Community Edition (CE) et Enterprise Edition (EE) sont des plateformes de gestion du cycle de vie DevOps permettant l'hébergement de dépôts de code source, la collaboration et l'intégration et le déploiement continus (CI/CD).
Description
Contexte technique et détails de la vulnérabilité
Ce produit est affecté par une vulnérabilité libellée CVE-2026-110264, due à un dépassement d'entier dans le moteur de compilation d'expressions régulières Onigmo utilisé par Ruby. Son exploitation permettrait à un acteur malveillant d'accéder aux données sensibles hébergées, notamment les dépôts de code source et les secrets CI/CD, et d'exécuter du code arbitraire à distance sur le serveur GitLab vulnérable. Elle est classée critique avec un score de sévérité de 10 selon le CVSS v3.1.
Impact & Risques potentiels
Conséquences potentielles en cas d'exploitation
- Exécution de code arbitraire à distance ;
- Atteinte à la confidentialité des données et des dépôts de code source ;
- Modification ou suppression non autorisée de données ;
- Atteinte à l'intégrité des systèmes et des données ;
- Atteinte à la disponibilité des données.
Systèmes affectés
Produits, composants et versions concernés
- GitLab versions 7.0 à 18.11.x, antérieures à la version 18.11.13 ;
- GitLab versions 19.0.x antérieures à la version 19.0.10 ;
- GitLab versions 19.1.x antérieures à la version 19.1.9 ;
- GitLab versions 19.2.x antérieures à la version 19.2.9 ;
- GitLab versions 19.3.x antérieures à la version 19.3.6 ;
- GitLab versions 19.4.x antérieures à la version 19.4.3 ;
- GitLab versions 19.5.x antérieures à la version 19.5.1.
Mesures & Remédiations recommandées
Actions immédiates et correctifs recommandés
- Mettre à jour GitLab CE/EE vers la version corrigée de la branche utilisée, ou vers une version ultérieure prise en charge.
Sources & Liens externes
Avis constructeurs et bulletins de référence
Fiche Technique
Cellule d'Urgence CSIRT
Votre infrastructure est-elle affectée ou suspectez-vous un incident ? Nos experts sont mobilisables pour intervenir.
Signaler un incidentRecevez nos alertes par email
Abonnez-vous pour recevoir nos bulletins d'alerte de sécurité et les actualités d'Iservices directement dans votre boîte mail.