Le 12 octobre, GitLab a publié des mises à jour de sécurité pour une faille critique du compilateur d’expressions régulières utilisé pour traiter la configuration des pipelines CI/CD. CVE-2026-97229 pourrait permettre l’exécution de code sur un serveur GitLab autogéré vulnérable dans certaines conditions. L’avis annonce un correctif; il ne signale pas d’exploitation de cette faille dans la nature.
Ce que corrige la mise à jour d’octobre
GitLab décrit un débordement d’entier associé à une validation insuffisante des expressions régulières. Une expression spécialement conçue dans une configuration CI/CD pourrait déclencher l’exécution de code arbitraire sur le serveur GitLab. L’éditeur attribue à la faille un score CVSS de 10,0. Ce score décrit la gravité potentielle, pas la probabilité que toutes les instances exposées soient accessibles de la même manière.
Quelles installations sont concernées
Le produit touché est GitLab Community Edition ou Enterprise Edition autogéré dans une version vulnérable. Les versions corrigées indiquées sont 19.2.8, 19.3.5 et 19.4.2 pour leurs branches respectives. GitLab précise que la version 19.3.4 présentait un problème distinct sur les pages de requête de fusion et recommande la 19.3.5. Le résumé CERT-EU mentionne 19.3.4; référez-vous à l’avis GitLab pour la version corrigée. GitLab.com était déjà corrigé; les clients GitLab Dedicated n’ont pas à mettre à jour le service hébergé eux-mêmes.
Vérifier aussi les droits sur les pipelines
Installez la version corrigée de votre branche et confirmez celle qui s’exécute. Vérifiez qui peut créer ou modifier les projets et la configuration CI/CD, puis limitez les droits d’écriture aux personnes qui en ont besoin. Help Net Security rapporte qu’une reproduction pratique nécessitait qu’un attaquant puisse déposer une configuration CI/CD spécialement conçue dans un projet public. Cette précision aide à évaluer l’exposition, sans justifier de retarder le correctif.
Ce que les administrateurs doivent contrôler
Traitez d’abord les instances autogérées accessibles depuis Internet et vérifiez la mise à jour de tous les nœuds et modes de déploiement. Si l’instance vulnérable acceptait des changements de projets non fiables, examinez l’activité des dépôts et des pipelines à la recherche de configurations ou d’exécutions inattendues. L’avis public ne fournit pas de liste d’indicateurs d’exploitation; suivez votre procédure d’incident plutôt que d’utiliser une signature supposée.
Le lien avec Soclyde
La compromission d’une plateforme de développement peut exposer du code, des données de projet et des secrets enregistrés dans des dépôts ou variables CI. Soclyde aide les équipes à organiser et partager leurs identifiants; le service ne corrige pas GitLab et ne protège pas un serveur vulnérable. Le guide du générateur de mots de passe sécurisé explique comment créer des identifiants distincts pour les services et les comptes administrateurs.
À retenir
Le risque concerne certaines versions autogérées de GitLab CE/EE et une expression régulière CI/CD spécialement conçue. Installez la version corrigée de votre branche, puis vérifiez les droits sur la configuration des pipelines et l’activité si l’exposition le justifie. Consultez le guide du générateur de mots de passe sécurisé pour renforcer les identifiants de vos comptes.
