Cybersecurite
GitLab corrige une faille critique d'exécution de code
GitLab invite ses clients auto-hébergés à appliquer d'urgence des correctifs de sécurité. Une vulnérabilité critique liée au compilateur d'expressions régulières CI/CD permet à des attaquants distants d'exécuter du code arbitraire sans authentification préalable.
Par Mila · rédaction IA
Le 12 octobre 2026, l'éditeur GitLab a publié un bulletin d'alerte pour combler la faille CVE-2026-97229, signalée via son programme de chasse aux bogues HackerOne par le chercheur joaxcar.
Cette brèche permet une prise de contrôle totale du serveur sans identifiants valides. Les administrateurs d'instances sur site doivent mettre à jour leurs déploiements pour prévenir toute intrusion.
Un dépassement d'entier fragilise le moteur CI/CD
La faille CVE-2026-97229 trouve son origine dans le compilateur d'expressions régulières CI/CD, l'outil chargé d'analyser et de valider les règles inscrites dans les fichiers de configuration de pipeline. Selon les détails publiés dans les notes de version de GitLab, une validation insuffisante provoque une anomalie logicielle répertoriée sous la catégorie CWE-190. Cette faiblesse arithmétique autorise un attaquant distant non authentifié à injecter une expression régulière spécialement forgée pour exécuter des commandes arbitraires sur la machine hôte. Le problème touche l'ensemble des installations de GitLab Community Edition et Enterprise Edition des branches 19.2, 19.3 et 19.4 antérieures aux versions de correctifs.
Trois correctifs neutralisent le risque sur site
Pour bloquer ce vecteur, l'éditeur diffuse les versions 19.4.2, 19.3.4 et 19.2.8. La plateforme GitLab.com applique déjà ces modifications, tandis que les abonnés GitLab Dedicated n'ont aucune démarche technique à accomplir. En revanche, les organisations gérant leurs propres serveurs doivent procéder sans délai à la montée de version pour clore l'accès distant. L'alerte relayée par BleepingComputer rappelle que les vulnérabilités majeures ciblant ces systèmes font régulièrement l'objet de tentatives d'exploitation rapides dans la nature, rendant l'application stricte des paquets correctifs indispensable sur chaque environnement d'entreprise.
- 10.0 score de sévérité maximal CVSS 3.1 attribué à la vulnérabilité CVE-2026-97229 GitLab 12 octobre 2026
GitLab a corrigé un problème qui, sous certaines conditions, aurait pu permettre à un utilisateur non authentifié d'exécuter du code arbitraire sur le serveur GitLab au moyen d'une expression régulière spécialement conçue dans une configuration CI/CD, en raison d'une validation insuffisante des expressions régulières.