GitLab : une faille critique CVSS 10 exploitable sans authentification met en péril douze ans de versions

L’agence américaine de cybersécurité CISA a inscrit jeudi la vulnérabilité CVE-2026-97229 à son catalogue des failles activement exploitées, confirmant que des attaquants tirent déjà parti d’un défaut d’une gravité maximale dans GitLab. Ce trou de sécurité, noté 10 sur 10 à l’échelle CVSS, permet à un utilisateur non authentifié d’exécuter du code arbitraire sur le serveur GitLab grâce à une expression rationnelle malveillante placée dans une configuration d’intégration continue.

Le problème réside dans le compilateur d’expressions rationnelles du pipeline CI/CD. Une validation insuffisante autorise un débordement d’entier lorsqu’une expression spécialement conçue est soumise. Le chercheur « joaxcar » a découvert la faille, qui affecte GitLab Community Edition et Enterprise Edition. L’incident signalé par Alpine Linux illustre la réalité de la menace : un acteur inconnu a sondé leur instance non corrigée les 20 et 21 octobre, provoquant huit plantages des processus worker, dont quatre ont franchi une première étape d’exploitation. Les tentatives répétées les 25 et 26 octobre ont été bloquées, mais les mainteneurs ont préféré reconstruire leur infrastructure depuis zéro, ne pouvant exclure un compromis.

GitLab a publié des correctifs pour les versions 19.5.1, 19.4.3 et 19.3.6, avec des rétroportages jusqu’à la version 18.11.13. L’infrastructure gérée par l’éditeur, dont GitLab.com et GitLab Dedicated, est déjà protégée. Pour les instances autogérées, la mise à jour s’impose sans délai. La surface d’exposition est considérable : douze ans de versions sont concernés, depuis GitLab 7.0 sorti en juin 2014. Les dépôts GitLab hébergent souvent du code source, des secrets de déploiement, des jetons d’accès et des définitions d’infrastructure. Une compromission au niveau serveur ouvre la voie au vol d’identifiants, à la manipulation de dépôts, à des attaques sur la chaîne d’approvisionnement, à la persistance ou au mouvement latéral.

Les chercheurs de SOC Prime soulignent que l’absence d’exploitation observée à ce jour ne saurait durer. La note CVSS parfaite et l’implantation massive de GitLab en entreprise en font une cible de choix pour les campagnes de balayage automatisé. Les défenseurs disposent d’un court répit, mais la fenêtre de tir se referme vite.

Sources : The Hacker News, BleepingComputer, The Register

Sources : The Hacker News, BleepingComputer, The Register