Une nouvelle vulnérabilité critique menace les serveurs GitLab
GitLab alerte sur une nouvelle vulnérabilité critique permettant, sous certaines conditions, l'exécution de code à distance sans authentification. L'éditeur recommande une mise à jour immédiate des installations concernées.
GitLab a publié des correctifs pour une nouvelle vulnérabilité critique susceptible de permettre à un attaquant distant d'exécuter du code arbitraire sur un serveur, sans authentification. Référencée CVE-2026-110264 et évaluée à 10 sur 10 sur l'échelle CVSS, la faille affecte les éditions Community (CE) et Enterprise (EE) de la plateforme DevSecOps.
Selon GitLab, la vulnérabilité provient d’une erreur dans la gestion des valeurs numériques par le compilateur d’expressions régulières. Sous certaines conditions, une expression spécialement conçue pourrait exploiter cette faille pour permettre l’exécution de code malveillant sur le serveur, sans authentification. La vulnérabilité a été signalée par un chercheur utilisant le pseudonyme «joaxcar», dans le cadre du programme de Bug Bounty de GitLab.
L'éditeur a corrigé la faille dans les versions 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 et 18.11.13. Il recommande aux administrateurs d'instances autohébergées d'appliquer immédiatement les correctifs. Le service GitLab.com est déjà protégé, tout comme les environnements GitLab Dedicated disposant des versions internes corrigées.
Cette alerte intervient dix jours après la divulgation d'une autre vulnérabilité critique d'exécution de code à distance (CVE-2026-97229), également notée 10 sur 10, rappelle BleepingComputer. En septembre, GitLab avait déjà corrigé une faille de gravité maximale (CVE-2026-85706), permettant l'accès non authentifié à des informations sensibles. Cette dernière avait été inscrite par l'agence américaine CISA à son catalogue des vulnérabilités activement exploitées.
Cette nouvelle alerte intervient quelques jours après la révélation de deux vulnérabilités critiques dans PHP, découvertes avec l'aide de modèles d'intelligence artificielle. Une intrusion chez TeamUpdraft a par ailleurs exposé des sites WordPress à des installations malveillantes, l'entreprise évoquant une possible utilisation de l'IA par les attaquants. Si aucun recours à l'IA n'a été établi dans le cas de GitLab, ces incidents mettent en lumière les enjeux liés à l'accélération de la découverte et de l'exploitation des failles de sécurité.
L’actualité IT en Suisse et à l’international, avec un focus sur la Suisse romande, directement dans votre boîte mail > Inscrivez-vous à la newsletter d’ICTjournal, envoyée du lundi au vendredi!
