Le 21 octobre 2026, GitLab a publié les versions 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 et 18.11.13 de GitLab Community Edition (CE) et Enterprise Edition (EE). Ces versions contiennent d'importantes corrections de bogues et de sécurité, et GitLab recommande fortement que toutes les installations GitLab auto-gérées soient mises à niveau immédiatement vers l'une de ces versions. GitLab.com exécute déjà la version corrigée. Les locataires de GitLab Dedicated utilisant les versions 19.3.5-internal0 et 19.4.2-internal0 ou ultérieures intègrent déjà ces correctifs et n'ont aucune action à entreprendre.
GitLab publie les correctifs de vulnérabilités dans les versions de maintenance selon deux types : les versions planifiées, publiées deux fois par mois le deuxième et le quatrième mercredi, et les correctifs critiques d'urgence pour les vulnérabilités de forte gravité. Les problèmes de sécurité sont rendus publics sur le gestionnaire de tickets 90 jours après la version qui les a corrigés. GitLab affirme être engagé à respecter les normes de sécurité les plus élevées pour tous les aspects de la plateforme exposés aux clients ou hébergeant leurs données.
Le correctif le plus grave concerne la CVE-2026-110264, un dépassement d'entier dans le compilateur d'expressions régulières. Dans certaines conditions, il pouvait permettre à un utilisateur non authentifié d'exécuter du code arbitraire sur le serveur GitLab. Elle affiche un score CVSS de 10.0 et a été signalée via le programme de bug bounty de HackerOne. Le correctif a été reporté sur les versions 18.11.13, 19.0.10, 19.1.9 et 19.2.9.
Un autre correctif, la CVE-2026-15723, concerne un problème d'authentification inappropriée. Lorsque la liaison automatique OmniAuth SAML et LDAP était activée, un utilisateur authentifié pouvait s'emparer d'un compte LDAP existant sans aucune interaction de la cible, avec un score CVSS de 8.2. Les versions concernées vont de 10.1 à 19.5 avant les versions corrigées. GitLab a également publié deux détections de menaces pour les instances auto-gérées afin d'aider à identifier les tentatives d'exploitation. L'infrastructure gérée par GitLab, y compris GitLab.com et GitLab Dedicated, reste corrigée.
Source: Hacker News · Résumé par HeadlinesBriefing