Contexte de la vulnérabilité

Le 21 octobre 2026, GitLab a publié un correctif critique pour la faille identifiée sous le numéro CVE-2026-110264. Cette vulnérabilité résulte d'un dépassement d'entier dans le composant Onigmo, le moteur de regex intégré à GitLab CE/EE. Le problème affecte toutes les versions de GitLab CE/EE depuis la version 7.0 (2014), soit plus d'une décennie de déploiements. Le score CVSS attribué est de 10.0, indiquant une possibilité d'exécution de code à distance sans authentification préalable.

Mécanisme d'exploitation

Onigmo compile les expressions régulières en bytecode avant de les exécuter. Un entier mal géré lors du calcul de la taille du buffer de sortie peut être sous‑ouvert, permettant à un attaquant d'écrire au‑delà des limites allouées. En injectant une expression régulière spécialement conçue, l'attaquant déclenche l'overflow, écrasant la mémoire du processus GitLab et injectant du code arbitraire. Le vecteur d'attaque ne nécessite aucun accès authentifié, car la compilation de regex intervient lors de l'analyse de dépôts ou de requêtes d'API publiques. Les versions qui n'ont appliqué que le correctif partiel du 12 octobre (qui ne couvrait que le module regex) restent vulnérables, soulignant l'importance de la mise à jour complète.

Correctif et recommandations

GitLab a publié une mise à jour qui intègre la version corrigée d'Onigmo, disponible pour toutes les branches maintenues (CE/EE). Le correctif supprime le calcul d'entier incriminé et introduit des vérifications de débordement avant l'allocation du buffer. Les administrateurs doivent mettre à jour leurs instances immédiatement, en suivant les instructions de migration officielles. Il est recommandé de vérifier la version installée via la commande 

gitlab-rake gitlab:env:info | grep onigmo
et de comparer le numéro de commit avec celui indiqué dans les notes de version. Les environnements qui ne peuvent pas appliquer la mise à jour rapidement doivent désactiver les fonctionnalités de recherche regex ou restreindre les entrées utilisateur via un proxy d'application.

Implications et limites

Le large périmètre d'impact (toutes les versions depuis 2014) expose potentiellement des millions d'instances auto‑gérées, notamment dans les déploiements on‑premise de grandes entreprises. Malgré le score maximal, aucune exploitation publique n'a été signalée à ce jour, ce qui peut refléter la difficulté de construire une charge utile fiable ou le manque de visibilité sur les tentatives d'exploitation. Le correctif résout le problème technique, mais ne protège pas contre d'éventuelles variantes dérivées si le code source d'Onigmo est réutilisé dans d'autres projets. Les organisations doivent donc surveiller les bulletins de sécurité liés à Onigmo et envisager des audits de dépendances tierces.