Un compilateur d'expressions régulières devient une porte d'entrée
GitLab a corrigé le 12 octobre CVE-2026-97229, un dépassement d'entier noté CVSS 10,0 dans le compilateur qui traite les expressions régulières de la configuration des pipelines CI/CD. Sous certaines conditions, indique l'avis de GitLab, un utilisateur non authentifié pouvait exécuter du code arbitraire sur le serveur GitLab via une expression régulière spécialement conçue dans une configuration CI/CD.
L'avis ne détaille pas ces conditions, et aucun des trois articles que nous avons lus ne le fait. Un chercheur utilisant le pseudo joaxcar a signalé la faille via le programme de bug bounty HackerOne de GitLab. GitLab.com exécute déjà la version corrigée et les clients GitLab Dedicated n'ont rien à faire, mais les administrateurs d'instances auto-hébergées doivent mettre à jour immédiatement. Selon heise, au 13 octobre GitLab n'avait communiqué aucune attaque.
| Branche de version | Vulnérable | Corrigée dans |
|---|---|---|
| GitLab 19.2 | Avant 19.2.8 | 19.2.8 |
| GitLab 19.3 | Avant 19.3.5 | 19.3.5 |
| GitLab 19.4 | Avant 19.4.2 | 19.4.2 |
Trois failles de gravité élevée ont été corrigées dans la même version. CVE-2026-92883 (8,7) est une faille de cross-site scripting. CVE-2026-16301 (8,5) permet à un utilisateur au rôle Developer d'exécuter des pipelines sur des branches protégées. CVE-2026-14814 (8,2) peut empoisonner des réponses en cache et exposer des variables d'environnement protégées. Heise compte cinq failles de gravité élevée au total.
Trois failles critiques de GitLab en quelques semaines
CVE-2026-97229 est la troisième faille critique de GitLab ces dernières semaines, et celle de septembre a montré la vitesse des attaquants.
| CVE | CVSS | Composant | Conséquence rapportée |
|---|---|---|---|
| CVE-2026-85706 | 10,0 | GitLab CE et EE | Lecture sans authentification de données sensibles comme des identifiants et des secrets, avec des sondages quelques heures après la divulgation et un classement par la CISA un jour après le correctif |
| CVE-2026-90970 | 9,9 | AI Gateway | Un utilisateur authentifié ayant accès à la Duo Agent Platform pouvait sortir du bac à sable des modèles de prompts et exécuter des commandes |
| CVE-2026-97229 | 10,0 | Compilateur d'expressions régulières CI/CD | Exécution de code sans authentification, sans attaque rapportée au 13 octobre |
Après la faille de septembre, la CISA a donné trois jours aux agences fédérales américaines pour sécuriser leurs systèmes. Elle a signalé cinq failles de GitLab exploitées dans des attaques depuis novembre 2021, dont une utilisée par des groupes de rançongiciel. Aucune attaque contre la nouvelle faille n'était rapportée au 13 octobre, mais le rythme de septembre est celui sur lequel il faut compter.
Pourquoi un serveur de pipelines vaut la peine d'être attaqué
Un serveur CI/CD se trouve entre le code source et la production, ce qui fait que l'exécution de code dessus vaut plus pour un attaquant que sur la plupart des serveurs d'entreprise.
Il détient en général les secrets dont les pipelines ont besoin pour compiler, tester et déployer, comme des jetons d'accès et des clés de déploiement, et il peut changer ce qui part chez les clients. GitLab dit compter plus de 30 millions d'utilisateurs inscrits et que plus de 50 pour cent du Fortune 100 l'utilisent. L'auto-hébergement échange du confort contre le contrôle de l'emplacement de votre code et de vos données, et vous transfère l'obligation de correctif. Cela peut être un choix délibéré pour les équipes soumises à des exigences de résidence des données, et c'est aussi pourquoi le jour de correctifs de l'éditeur devient votre échéance.
Un plan de 72 heures pour les équipes auto-hébergées
Traitez cela comme un chantier de 72 heures pour toute instance joignable depuis internet, en commençant par vérifier la version.
D'abord, relevez votre version installée et comparez-la à 19.2.8, 19.3.5 et 19.4.2, puis confirmez les numéros de build exacts dans l'avis de GitLab. Ensuite, planifiez la mise à niveau sous 72 heures, en commençant par toute instance joignable depuis internet. Enfin, d'ici là, limitez qui peut joindre le serveur et qui peut modifier les fichiers de configuration CI/CD.
Si vous ne pouvez pas écarter une exposition, faites ensuite tourner les secrets stockés comme variables de pipeline une fois le correctif en place. Abonnez-vous aussi aux avis de sécurité de GitLab pour que le prochain atteigne une personne le jour même. Les 72 heures sont la fenêtre que nous suggérons, pas une échéance de GitLab.
À lire ensuite: Deux lignes disent si la faille NetScaler vous touche | La faille la moins bien notée de GitLab ne nécessite qu'un projet public
