Vulnérabilité critique dans GitLab
.png)
Produits concernés
• GitLab Community Edition (CE) version 19.2.0 à 19.2.7
• GitLab Community Edition (CE) version 19.3.0 à 19.3.3
• GitLab Community Edition (CE) version 19.4.0 à 19.4.1
• GitLab Enterprise Edition (EE) version 19.2.0 à 19.2.7
• GitLab Enterprise Edition (EE) version 19.3.0 à 19.3.3
• GitLab Enterprise Edition (EE) version 19.4.0 à 19.4.1
Prérequis
• Accès réseau à l'interface web de l'instance GitLab self-managed
Risques
• Exécution de code arbitraire
• Prise de contrôle complète du serveur GitLab
• Exploitation d'informations d'identification (secrets et variables CI/CD)
• Exfiltration de données sensibles (code source hébergé sur l'instance)
• Accès au réseau interne de l'entreprise
Résumé
Une vulnérabilité critique de type "Exécution de code arbitraire" affectant GitLab Community Edition et Enterprise Edition a été publiée par l'éditeur le 12 octobre 2026.
Le niveau de criticité de cette vulnérabilité est de 10 (score CVSS 3.1).
GitLab est une plateforme DevSecOps utilisée par les équipes de développement pour héberger leur code source et automatiser leurs chaînes d'intégration et de déploiement continus (CI/CD).
• CVE-2026-97229 : Sous certaines conditions, un attaquant distant non authentifié peut, via une expression régulière spécialement conçue dans une configuration CI/CD, exécuter du code arbitraire sur le serveur GitLab. L'exploitation de cette vulnérabilité pourrait permettre à l'attaquant d'accéder au code source et aux secrets hébergés sur l'instance, puis de rebondir vers le réseau interne.
À l'heure actuelle, GitLab ne fait mention d'aucune exploitation active de cette vulnérabilité et aucun exploit public n'a été identifié.
Étant donné le risque associé, nous préconisons de corriger cette vulnérabilité sans plus attendre pour toute instance GitLab self-managed exposée sur Internet.
Solutions
Détection de la compromission :
Aucun indicateur de compromission public n'est disponible à l'heure de l'émission de ce bulletin.
Remédiation
Mettre à jour les instances GitLab CE/EE self-managed vers les versions corrigées :
• 19.2.8 ou ultérieure
• 19.3.4 ou ultérieure
• 19.4.2 ou ultérieure
Mitigation
Aucune mitigation officielle n'est communiquée par GitLab. En attendant le déploiement :
• Restreindre l'exposition réseau de l'instance GitLab aux seules IP/réseaux de confiance si possible
Restez informés des dernières menaces !
Recevez les alertes de sécurité critiques et nos conseils pour protéger votre entreprise.
