GitLab a averti ses utilisateurs d’une vulnérabilité de sécurité critique présentant le niveau de gravité maximal dans le composant CI/CD Regular Expression Compiler, qui pourrait permettre à un attaquant distant et non authentifié d’exécuter du code arbitraire sur un serveur GitLab ciblé. La vulnérabilité porte la référence CVE-2026-97229. Elle a été découverte par un chercheur en sécurité utilisant le pseudonyme joaxcar, qui l’a signalée dans le cadre du programme de primes aux bogues de HackerOne.
Comment fonctionne la vulnérabilité ?
Le problème est lié à une faiblesse de type dépassement de capacité d’un entier dans le compilateur d’expressions régulières, le composant qui analyse, compile et évalue les expressions régulières dans les fichiers de configuration des pipelines CI/CD. Selon les informations fournies par GitLab, une validation insuffisante des expressions régulières peut, dans certaines circonstances, être exploitée au moyen d’une expression spécialement conçue dans la configuration CI/CD, permettant ainsi à un utilisateur non authentifié d’exécuter du code sur un serveur GitLab.
Versions concernées et mises à jour
GitLab a corrigé le problème dans les éditions Community Edition et Enterprise Edition dans les versions suivantes :
- Version 19.2.8 ou ultérieure, au lieu des versions antérieures à 19.2.8.
- Version 19.3.4 ou ultérieure, au lieu des versions antérieures à 19.3.4.
- Version 19.4.2 ou ultérieure, au lieu des versions antérieures à 19.4.2.
L’entreprise recommande à tous les utilisateurs d’installations GitLab auto-hébergées de procéder immédiatement à la mise à niveau vers l’une de ces versions, qui comprennent également des corrections de bogues et de vulnérabilités de sécurité. Le service GitLab.com fonctionne déjà avec la version corrigée, et les clients de GitLab Dedicated n’ont aucune mesure à prendre, selon l’entreprise.
Pourquoi cette information est-elle importante ?
L’importance de cette vulnérabilité tient au fait que son exploitation ne nécessite aucune authentification, tandis qu’une attaque réussie pourrait permettre l’exécution de code sur un serveur hébergeant des projets et des pipelines CI/CD. La portée concrète de l’impact se concentre donc sur les environnements qui gèrent eux-mêmes GitLab, et non sur les utilisateurs de GitLab.com ou de GitLab Dedicated, selon les informations disponibles.
Cette correction intervient après une série de vulnérabilités corrigées par GitLab au cours des derniers mois. En janvier, l’entreprise a corrigé une vulnérabilité de gravité élevée permettant de contourner l’authentification à deux facteurs, référencée CVE-2026-0723. Le mois dernier, elle a corrigé une autre vulnérabilité présentant le niveau de gravité maximal, CVE-2026-85706, qui permettait à des attaquants non authentifiés de lire des données sensibles, notamment des identifiants et des secrets, sur les serveurs concernés.
La Cybersecurity and Infrastructure Security Agency américaine (CISA) a ajouté la vulnérabilité CVE-2026-85706 à son catalogue des vulnérabilités exploitées dans la nature un jour après sa correction, et a demandé aux agences fédérales de sécuriser leurs systèmes dans un délai de trois jours. Les informations publiées indiquent également que la CISA a recensé l’exploitation de cinq vulnérabilités de GitLab dans le cadre d’attaques depuis novembre 2021, dont une vulnérabilité utilisée par des groupes menant des attaques par rançongiciel.
La source n’établit pas que la nouvelle vulnérabilité CVE-2026-97229 a déjà été exploitée. La mesure confirmée reste donc la mise à jour urgente des versions auto-hébergées et l’examen des configurations CI/CD concernées.