GitLab : une faille notée 10 sur 10 permet d’exécuter du code sur le serveur sans compte, il faut mettre à jour

Entreprises, écoles et administrations utilisent GitLab pour stocker leur code et lancer des tâches automatiques à chaque modification. Le lundi 12 octobre 2026, l’éditeur a publié un correctif d’urgence pour une faille notée 10 sur 10, la note maximale. Sur un serveur non corrigé, elle pourrait permettre à un inconnu, sans compte, d’y exécuter le code de son choix.

Une expression régulière piégée

La faille, référencée CVE-2026-97229, se loge dans le compilateur d’expressions régulières de la CI/CD de GitLab, le module qui enchaîne les tâches automatiques. Ces expressions sont des motifs de texte, utilisés par exemple pour ne lancer une tâche que sur certaines branches du code. Un motif spécialement conçu provoque un dépassement d’entier : un calcul sort des limites prévues et ouvre la voie à l’exécution de code sur le serveur.

GitLab précise que l’attaque ne fonctionne que « sous certaines conditions », sans dire lesquelles. Le reste de la fiche est sans appel : attaque à distance, faible complexité, ni compte ni action de la victime nécessaires. Au 14 octobre, ni GitLab ni IT-Connect ne faisaient état d’attaques.

Trois failles critiques en trois semaines

La faille a été signalée par le chercheur joaxcar, via le programme de primes aux bogues de GitLab sur HackerOne. Le même chercheur avait déjà fait corriger, le 23 septembre, deux failles critiques dans ce même moteur d’expressions régulières, rappelle IT-Connect. Différence de taille : celles-là exigeaient d’avoir un compte sur le serveur.

Conséquence pratique : un serveur mis à jour fin septembre en 19.4.1 reste vulnérable. Le correctif du 12 octobre règle au total 24 failles, dont 5 de gravité élevée. Selon GitLab, la faille critique touche les versions à partir de 19.2 ; les plus anciennes ne sont de toute façon plus maintenues.

Le geste à faire

• Vérifier la version installée : elle s’affiche dans la page d’aide de l’instance, à l’adresse /help.
• Installer 19.4.2, 19.3.5 ou 19.2.8 selon la branche utilisée : GitLab demande de le faire immédiatement.
• Sur GitLab.com, rien à faire : le service tourne déjà sur une version corrigée.

En bref

• GitLab a corrigé le 12 octobre 2026 une faille notée 10 sur 10 dans sa CI/CD.
• Sous certaines conditions, elle permet d’exécuter du code sur le serveur sans avoir de compte.
• Sont touchés les serveurs auto-hébergés en 19.2, 19.3 et 19.4 non mis à jour.
• Installer 19.4.2, 19.3.5 ou 19.2.8 ; GitLab.com est déjà corrigé.

Sources : GitLab, 12 octobre 2026 ; IT-Connect, 14 octobre 2026.

Le Bien Heureux · Rédaction Capibara · Samedi 17 octobre 2026