GitLab est la plateforme DevOps auto-hébergeable de gestion de code et de pipelines CI/CD largement utilisée en entreprise. L'éditeur a publié le 12 octobre 2026 un correctif pour CVE-2026-97229, une vulnérabilité de sévérité maximale (CVSS 10) logée dans le compilateur d'expressions régulières utilisé par les pipelines CI/CD. Un fichier de configuration CI/CD contenant une expression régulière spécialement construite pouvait, dans certaines conditions, permettre à un utilisateur non authentifié d'exécuter du code arbitraire sur le serveur GitLab. Le CERT-FR a relayé ce correctif dans son avis CERTFR-2026-AVI-1294 du 12 octobre 2026.
Comment fonctionne la faille CVE-2026-97229 ?
Selon The Hacker News et BleepingComputer, le composant touché est le compilateur d'expressions régulières CI/CD, chargé d'analyser, de compiler puis d'évaluer les motifs regex présents dans les fichiers de pipeline (.gitlab-ci.yml et apparentés). GitLab décrit la cause comme une « validation insuffisante des expressions régulières », identifiée techniquement comme un dépassement d'entier (CWE-190). En exploitant ce comportement avec un motif regex conçu à cet effet, un attaquant sans compte GitLab pourrait obtenir une exécution de code à distance sur l'instance visée.
La faille a été découverte et signalée via le programme de bug bounty HackerOne de GitLab par un chercheur utilisant le pseudonyme « joaxcar ».
À retenir : aucune exploitation de CVE-2026-97229 n'est signalée à ce jour par GitLab, The Hacker News ou BleepingComputer. La faille est corrigée avant toute exploitation publique connue, ce qui n'est pas toujours le cas pour les vulnérabilités GitLab, comme le rappelle l'historique ci-dessous.
Quelles versions sont concernées et quels correctifs appliquer ?
| Édition | Versions affectées | Version corrigée |
|---|---|---|
| GitLab CE et EE | antérieures à 19.2.8 | 19.2.8 |
| GitLab CE et EE | 19.3.x antérieures à 19.3.4 | 19.3.4 |
| GitLab CE et EE | 19.4.x antérieures à 19.4.2 | 19.4.2 |
GitLab.com exécute déjà la version corrigée, et les clients de GitLab Dedicated n'ont aucune action à mener : la mise à jour les concerne principalement s'ils exploitent une instance auto-hébergée (self-managed) en CE ou EE.
Le même correctif (19.4.2) referme au total 24 vulnérabilités selon l'avis CERTFR-2026-AVI-1294, dont trois autres failles de sévérité élevée signalées par The Hacker News : une faille de script intersite (CVE-2026-92883, un utilisateur authentifié pouvant exécuter du JavaScript dans la session d'un autre utilisateur via un dépôt piégé), une autorisation insuffisante dans la création de pipelines en aval (CVE-2026-16301, un utilisateur au rôle Developer pouvant déclencher des pipelines sur des branches protégées) et une faille d'expression régulière trop permissive (CVE-2026-14814, pouvant empoisonner des réponses de fichiers mis en cache et exposer des variables d'environnement protégées).
Pourquoi les failles GitLab sont-elles surveillées de si près ?
Ce n'est pas la première fois cette année que GitLab corrige une faille de sévérité maximale touchant son CI/CD. CVE-2026-85706, une faille de lecture de fichiers sensibles (identifiants compris) divulguée le mois dernier, a été ajoutée au catalogue des vulnérabilités activement exploitées (KEV) de la CISA un jour seulement après sa divulgation : des tentatives de sondage ont été observées quelques heures après la publication du correctif. Depuis novembre 2021, la CISA a inscrit cinq vulnérabilités GitLab distinctes à son catalogue KEV, dont l'une a été exploitée par des groupes de rançongiciel.
À retenir : pour une plateforme GitLab auto-hébergée, le délai entre la publication d'un correctif et son application effective est la fenêtre la plus dangereuse. L'historique récent montre que ce délai se compte parfois en heures avant les premières tentatives d'exploitation, et non en semaines.
Comment se protéger ?
- Mettre à jour immédiatement toute instance GitLab CE ou EE auto-hébergée vers 19.2.8, 19.3.4 ou 19.4.2 selon la branche suivie, sans attendre une fenêtre de maintenance éloignée compte tenu du CVSS 10.
- Vérifier l'exposition de l'instance sur internet : une instance GitLab self-managed accessible publiquement augmente directement la surface d'attaque exploitable par CVE-2026-97229, qui ne nécessite aucune authentification.
- Revoir les sources autorisées à modifier les fichiers CI/CD (
.gitlab-ci.yml, modèles inclus) : limiter qui peut fusionner ou déclencher un pipeline avec une configuration non revue réduit le risque qu'une expression régulière malveillante atteigne le compilateur. - Consulter le catalogue CVE pour suivre un éventuel basculement de CVE-2026-97229 vers le statut KEV de la CISA, signe d'une exploitation active détectée après coup.
- Utiliser le calculateur CVSS contextualisé pour ajuster la priorité de ce correctif à votre exposition réelle (instance interne vs exposée, authentification SSO, segmentation réseau), en complément de notre guide sur le score CVSS.
- Surveiller les journaux CI/CD pour toute activité de pipeline anormale ou déclenchée par un compte inattendu dans les jours suivant la publication du correctif.
Pour les équipes qui hésitent encore entre une instance GitLab auto-hébergée et GitHub, notre comparatif GitHub contre GitLab et durcissement d'une instance GitLab interne détaille les mesures de durcissement à appliquer dans les deux cas, dont la réduction de la surface d'exposition qui aurait limité l'impact potentiel de ce type de faille.
Points clés
- CVE-2026-97229 (CVSS 10) est un dépassement d'entier dans le compilateur d'expressions régulières CI/CD de GitLab, permettant une exécution de code sans authentification via un fichier de pipeline piégé.
- Les versions CE et EE antérieures à 19.2.8, 19.3.4 et 19.4.2 sont concernées ; GitLab.com est déjà à jour.
- La faille a été signalée via le bug bounty HackerOne et corrigée avant toute exploitation publique connue à ce jour.
- Le même correctif referme 24 vulnérabilités au total, dont trois autres failles de sévérité élevée (XSS, autorisation de pipeline, regex de cache).
- L'historique de GitLab (cinq failles ajoutées au catalogue KEV de la CISA depuis 2021, dont une exploitée par des rançongiciels) justifie une mise à jour rapide plutôt qu'une attente.
Sources : avis CERT-FR CERTFR-2026-AVI-1294, The Hacker News, BleepingComputer.