GitLab : la faille CVE-2026-97229 exploitée, mettez à jour

L'agence américaine de cybersécurité CISA a ajouté le 29 octobre 2026 la faille GitLab CVE-2026-97229 à son catalogue des vulnérabilités activement exploitées (KEV). Corrigée par GitLab le 12 octobre, cette vulnérabilité porte le score de gravité maximal, 10 sur 10. Elle peut permettre à un attaquant non authentifié d'exécuter du code sur un serveur GitLab autohébergé. Les administrateurs qui n'ont pas encore installé le correctif doivent désormais le traiter en urgence.

Une faille dans le compilateur d'expressions régulières

D'après l'avis de sécurité de GitLab, le problème se situe dans le compilateur d'expressions régulières utilisé par la CI/CD. Il s'agit d'un dépassement d'entier (CWE-190) : dans certaines conditions, une expression régulière spécialement conçue, placée dans une configuration CI/CD, pouvait permettre à un utilisateur non authentifié d'exécuter du code arbitraire sur le serveur.

Le vecteur CVSS publié par GitLab résume la gravité : attaque à distance, sans privilèges ni interaction de l'utilisateur, avec un impact élevé sur la confidentialité, l'intégrité et la disponibilité. La faille a été signalée par le chercheur connu sous le pseudonyme « joaxcar », via le programme de bug bounty de GitLab sur HackerOne.

Versions touchées et correctifs

Les éditions Community (CE) et Enterprise (EE) sont concernées dans les branches suivantes :

• 19.2, avant la version 19.2.8 ;
• 19.3, avant la version 19.3.5 ;
• 19.4, avant la version 19.4.2.

GitLab a d'abord publié la 19.3.4, puis la 19.3.5, qui corrige en plus un bogue de la 19.3.4 sur les pages de merge request lorsque l'intégration Ona est activée. C'est donc la 19.3.5 qu'il faut viser sur cette branche. Elle comprend une migration post-déploiement : les instances à nœud unique subiront une interruption pendant la mise à jour.

GitLab.com tourne déjà sur une version corrigée, et les clients GitLab Dedicated ont été protégés avant la publication. Seules les instances autohébergées sont donc à traiter. La même publication corrige plus de vingt autres vulnérabilités, dont cinq de gravité élevée, notamment une faille XSS dans la coloration syntaxique et un problème d'autorisation dans la création de pipelines en aval.

Un délai de trois jours pour les agences américaines

L'ajout au catalogue KEV signifie que la CISA dispose de preuves d'exploitation. Les agences fédérales américaines ont jusqu'au 1er novembre pour appliquer les mesures de l'éditeur, et la CISA leur demande aussi de mener une analyse forensique des systèmes concernés. L'agence indique ne pas savoir à ce stade si la faille est utilisée dans des campagnes de rançongiciel.

Le même jour, la CISA a ajouté au catalogue une faille de Cisco Secure Firewall ASA et FTD (CVE-2026-76418). Cette consigne ne s'impose qu'à l'administration américaine, mais le catalogue KEV reste un bon outil pour décider quoi corriger en premier, comme nous l'expliquions à propos de la priorisation des correctifs.

Que faire maintenant

1. Identifier la version de chaque instance GitLab autohébergée, y compris les serveurs de test oubliés.
2. Mettre à jour vers 19.2.8, 19.3.5 ou 19.4.2 selon la branche, ou vers une version plus récente.
3. Rechercher des traces d'exploitation : GitLab a publié six règles de détection pour les instances autohébergées, qui portent notamment sur des plantages de workers liés au moteur d'expressions régulières et sur des requêtes anormales vers le lint CI.
4. Limiter l'exposition : une instance qui n'a pas besoin d'être accessible depuis Internet ne devrait pas l'être.

Si une instance non corrigée est restée exposée depuis le 12 octobre, il est prudent de vérifier les journaux et de faire tourner les secrets CI/CD et les jetons d'accès qu'elle stocke. Les utilisateurs de GitLab.com, eux, n'ont rien à faire côté serveur, même s'ils ont d'autres évolutions à suivre, comme les nouveaux quotas d'API.