La plateforme de développement logiciel GitLab a lancé des mises à jour de sécurité urgentes pour corriger une vulnérabilité à haut risque dans le moteur de compilation d'expressions régulières (Regular Expression Compiler), qui permet à des attaquants non authentifiés d'exécuter du code arbitraire à distance sur les serveurs vulnérables.
La vulnérabilité porte l'identifiant CVE-2026-110264 et a été découverte par un chercheur en sécurité connu sous le pseudonyme joaxcar via le programme de prime aux bugs sur la plateforme HackerOne. Le problème de sécurité provient d'une erreur de dépassement d'entier (integer overflow) au sein du moteur d'expressions régulières backend qui gère l'analyse et la validation des expressions régulières dans les fichiers de configuration.
Versions affectées et solutions requises
L'entreprise a corrigé le défaut dans les versions GitLab Community Edition (CE) et Enterprise Edition (EE) numérotées 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 et 18.11.13. La société a averti tous les utilisateurs et administrateurs de la nécessité d'effectuer une mise à jour immédiate pour éviter les risques.
L'entreprise a précisé que la plateforme GitLab.com dispose déjà de la version mise à jour, tandis que les abonnés de GitLab Dedicated ont reçu les mises à jour dans les versions postérieures à 19.3.5-internal0 et 19.4.2-internal0 sans qu'aucune action supplémentaire ne soit nécessaire.
Pourquoi cette nouvelle est-elle importante ?
Cette vulnérabilité met en lumière les risques croissants associés aux composants d'analyse d'expressions régulières dans les plateformes de développement populaires, alors que les rapports du réseau de surveillance des menaces Shadowserver indiquent l'existence de plus de 2 700 serveurs communautaires GitLab exposés sur Internet. Cette vulnérabilité revêt une gravité supplémentaire car elle survient peu après la détection d'autres failles critiques sur la même plateforme, notamment la vulnérabilité enregistrée sous le numéro CVE-2026-97229, également liée au moteur d'expressions régulières dans les systèmes d'intégration continue et de déploiement continu (CI/CD), et la faille précédente CVE-2026-85706, exploitée par l'agence américaine de cybersécurité CISA lors d'attaques réelles.