📰 Contexte

Source : The Hacker News, publié le 22 octobre 2026. GitLab a déployé le 21 octobre 2026 des correctifs pour une vulnérabilité critique affectant l’ensemble de ses installations auto-hébergées (self-managed).

🔴 Vulnérabilité principale : CVE-2026-110264

CVE-2026-110264 est notée CVSS 10.0 (score maximal). Elle résulte d’un débordement d’entier (integer overflow) dans le moteur de compilation d’expressions régulières Onigmo (moteur Ruby intégré aux packages GitLab). Elle permet à un utilisateur non authentifié d’exécuter du code arbitraire sur le serveur.

  • Affecte toutes les versions depuis GitLab 7.0 (2014) jusqu’aux versions non corrigées
  • GitLab n’a pas divulgué les préconditions exactes nécessaires à l’exploitation
  • Aucune exploitation active confirmée au 22 octobre 2026
  • Non référencée dans le catalogue CISA KEV à cette date

🛠️ Versions corrigées

Version concernée Mettre à jour vers
19.5 avant 19.5.1 19.5.1
19.4 avant 19.4.3 19.4.3
19.3 avant 19.3.6 19.3.6
19.2 avant 19.2.9 19.2.9
19.1 avant 19.1.9 19.1.9
19.0 avant 19.0.10 19.0.10
7.0 à 18.11 avant 18.11.13 18.11.13

GitLab.com et GitLab Dedicated (versions internes 19.3.5-internal0 et 19.4.2-internal0 ou ultérieures) sont déjà corrigés. Seules les installations self-managed sont concernées.

🔗 Contexte : série de failles dans le moteur regex

Il s’agit de la quatrième faille d’exécution de code dans le moteur d’expressions régulières signalée par le même chercheur (handle : joaxcar) en un mois :

  • CVE-2026-97229 (12 octobre) : CVSS 10.0, overflow non authentifié, versions 19.2.8 / 19.3.5 / 19.4.2
  • CVE-2026-93577 (23 septembre) : CVSS 9.9, nécessite un compte connecté
  • CVE-2026-89078 (23 septembre) : CVSS 9.9, nécessite un compte connecté
  • CVE-2026-110264 (21 octobre) : CVSS 10.0, non authentifié, toutes versions depuis 7.0

⚠️ Autres vulnérabilités corrigées dans la release du 21 octobre

  • CVE-2026-15723 (CVSS 8.2) : prise de contrôle de compte pour un utilisateur connecté si SAML et LDAP auto-linking sont activés simultanément
  • CVE-2026-112212 (CVSS 7.5) : cache poisoning sur les endpoints OAuth/OpenID Connect permettant une redirection de flux de connexion

🔍 Détection

GitLab a publié deux règles de détection au format Sigma via son framework open-source TLDR :

  • Onigmo native worker crash
  • Org mode render error burst

📋 Type d’article

Article de type patch de sécurité / alerte de vulnérabilité, destiné à informer les administrateurs d’instances GitLab self-managed de la nécessité de mettre à jour immédiatement leurs installations.

🧠 TTPs et IOCs détectés

TTP

  • T1190 — Exploit Public-Facing Application (Initial Access)
  • T1203 — Exploitation for Client Execution (Execution)

IOC

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 26 octobre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

🟡 Indice de vérification factuelle : 58/100 (moyenne)

  • ✅ thehackernews.com — source reconnue (liste interne) (20pts)
  • ✅ 4476 chars — texte complet (15pts)
  • ✅ 6 IOCs (IPs/domaines/CVEs) (10pts)
  • ⬜ pas d’IOC vérifié (0pts)
  • ✅ 2 TTP(s) MITRE (8pts)
  • ⬜ date RSS ou approximée (0pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ✅ 5/5 CVE(s) confirmée(s) (CIRCL) (5pts)

🔗 Source originale : https://thehackernews.com/2026/10/critical-gitlab-flaw-cvss-100-could.html