🔐 Contexte

Le 21 octobre 2026, GitLab a publié des versions correctives critiques pour GitLab Community Edition (CE) et Enterprise Edition (EE) : 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 et 18.11.13. Ces versions corrigent 12 vulnérabilités de sécurité dont une critique de score CVSS 10.0.

🚨 Vulnérabilité critique : CVE-2026-110264 (CVSS 10.0)

Integer Overflow dans le compilateur de Regular Expression (Onigmo) permettant à un utilisateur non authentifié d’exécuter du code arbitraire sur le serveur GitLab via une expression régulière spécialement forgée.

  • Versions impactées : toutes versions depuis 7.0 avant 18.11.13, 19.0 avant 19.0.10, 19.1 avant 19.1.9, 19.2 avant 19.2.9, 19.3 avant 19.3.6, 19.4 avant 19.4.3, 19.5 avant 19.5.1
  • Signalée via HackerOne par joaxcar
  • Deux détections de menace publiées : Onigmo native worker crash et Org mode render error burst

⚠️ Vulnérabilités de sévérité haute

  • CVE-2026-15723 (CVSS 8.2) : Improper Authentication dans OmniAuth-to-LDAP auto-linking — un utilisateur authentifié peut prendre le contrôle d’un compte LDAP existant sans interaction de la victime
  • CVE-2026-112212 (CVSS 7.5) : Cache Poisoning sur les endpoints OAuth/OIDC discovery — un utilisateur non authentifié peut rediriger des flux vers un serveur externe

🟡 Vulnérabilités de sévérité moyenne

  • CVE-2026-12664 (CVSS 6.8) : Improper Access Control sur le champ email GraphQL work item
  • CVE-2026-16255 (CVSS 5.9) : Enforcement incomplet du membership lock SAML/LDAP (EE uniquement)
  • CVE-2026-105777 (CVSS 4.3) : Exposition de credentials internes via les headers de réponse
  • CVE-2026-13319 (CVSS 4.3) : Authorization Bypass via clé contrôlée par l’utilisateur dans l’API group milestones
  • CVE-2026-112378 (CVSS 4.3) : Accès non autorisé aux fonctionnalités AI payantes (EE uniquement)

🟢 Vulnérabilités de sévérité basse

  • CVE-2026-105711 (CVSS 3.5) : Fuite de titre d’issue confidentielle via cache de rendu merge request
  • CVE-2026-14288 (CVSS 3.1) : Bypass de politique d’approbation de merge request (EE)
  • CVE-2026-112326 (CVSS 3.1) : Suppression non autorisée de vulnérabilités via exception handling (EE)
  • CVE-2026-103515 (CVSS 2.7) : Bypass du verrouillage admin Duo pour les paramètres Amazon Q (EE)

📋 Type d’article

Il s’agit d’un patch de sécurité officiel publié par GitLab, visant à informer les administrateurs d’instances auto-hébergées des correctifs disponibles et à les inciter à mettre à jour immédiatement.

🧠 TTPs et IOCs détectés

TTP

  • T1190 — Exploit Public-Facing Application (Initial Access)
  • T1212 — Exploitation for Credential Access (Credential Access)
  • T1557 — Adversary-in-the-Middle (Collection)
  • T1110 — Brute Force (Credential Access)

IOC

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 22 octobre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

🟡 Indice de vérification factuelle : 55/100 (moyenne)

  • ⬜ docs.gitlab.com — source non référencée (0pts)
  • ✅ 19403 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 12 IOCs (IPs/domaines/CVEs) (10pts)
  • ⬜ pas d’IOC vérifié (0pts)
  • ✅ 4 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ✅ 5/5 CVE(s) confirmée(s) (CIRCL) (5pts)

🔗 Source originale : https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-5-1-released/