GitLab signale une faille de sécurité critique

GitLab a publié une alerte de sécurité mercredi 21 octobre, exhortant les entreprises qui hébergent GitLab sur leurs propres serveurs à mettre à jour immédiatement. La vulnérabilité permet à un attaquant d'exécuter des commandes arbitraires sur le serveur sans avoir besoin d'un compte, ce qui représente un risque sérieux pour les utilisateurs.

La vulnérabilité touche toutes les versions depuis 2014

La faille est présente dans chaque version de GitLab depuis la 7.0, publiée en 2014. Des correctifs PHP ont été diffusés le même jour à 16 heures, à la suite d'une fuite qui a contraint le projet à avertir les utilisateurs la veille.

GitLab est un outil clé du développement logiciel

GitLab est une plateforme utilisée par les entreprises pour stocker, compiler et déployer du code logiciel. Contrairement à GitHub, GitLab permet aux utilisateurs d'héberger eux-mêmes leur code source. Dans son rapport annuel 2026, l'entreprise affirme compter plus de 50 millions d'utilisateurs inscrits.

Les vulnérabilités PHP affectent les paiements en ligne

Les failles PHP menacent directement les paiements sur les boutiques en ligne. La vulnérabilité de GitLab met d'abord en danger le code des entreprises, pouvant exposer des données et des opérations sensibles.

Une faille liée au moteur Onigmo de Ruby

La vulnérabilité, référencée CVE-2026-110264, provient d'Onigmo, le moteur d'expressions régulières du langage Ruby. Lorsque Onigmo compile une expression piégée, un nombre devient trop grand et dépasse l'espace mémoire qui lui est alloué (un dépassement de capacité d'entier, ou integer overflow).

GitLab classe la faille comme la plus critique

GitLab attribue à la vulnérabilité la note de 10 sur 10, le niveau de criticité le plus élevé. Il est essentiel d'installer le correctif pour se protéger contre d'éventuelles attaques. Le 12 octobre, GitLab avait déjà corrigé une autre vulnérabilité notée 10 dans le même moteur (CVE-2026-97229), dans les versions 19.2 et ultérieures.

GitLab met à jour plusieurs versions pour la première fois

Cette vulnérabilité remonte à 2014, et GitLab a dû modifier ses habitudes habituelles en matière de correctifs. D'ordinaire, l'éditeur ne corrige que la version actuelle et les deux précédentes. Cette fois, il a publié des correctifs pour sept branches, jusqu'à la version 18.11.13, une mesure réservée aux problèmes graves.

Les utilisateurs doivent passer à des versions précises

Les utilisateurs sont invités à vérifier la version de leur instance GitLab, affichée sur la page Aide de GitLab, puis à passer à la version corrigée de leur branche : 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 ou 18.11.13. Sur la version 18.11, il faut passer au minimum à la 18.11.13, parfois en plusieurs étapes.

Autres vulnérabilités corrigées le 21 octobre

Le 21 octobre, GitLab a corrigé douze vulnérabilités au total. Parmi elles, une permet de prendre le contrôle d'un compte lorsque SAML et LDAP, qui relient GitLab à l'annuaire de l'entreprise, sont liés automatiquement (note de 8,2). Une autre pourrait rediriger certaines connexions OAuth vers un serveur pirate (note de 7,5).

Les mises à jour peuvent nécessiter une interruption de service

Les utilisateurs doivent aussi prévoir une interruption de service, car les versions 19.4.3 et 19.3.6 modifient la base de données pendant la mise à jour, et sur un serveur unique, GitLab ne redémarre qu'à la fin de ces modifications. Si GitLab fonctionne sur plusieurs serveurs, les utilisateurs peuvent appliquer le correctif sans interruption grâce à la procédure « zero-downtime » de l'éditeur.