Les organisations qui utilisent des serveurs GitLab vulnérables sont confrontées à des attaques actives visant la CVE-2026-97229, une faille de criticité maximale qui peut permettre à des attaquants d'exécuter du code sans être authentifiés, dans certaines conditions. L'Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a ajouté la vulnérabilité à son catalogue des failles exploitées le 29 octobre, ce qui place la correction au premier rang des priorités des administrateurs.
Les éditions Community (CE) et Enterprise (EE) de GitLab sont toutes deux touchées. BleepingComputer a rapporté le 30 octobre que GitLab avait corrigé le problème plus tôt ce mois-là, dans les versions 19.4.2, 19.3.5 et 19.2.8. L'entreprise a également publié des détections de menaces à l'intention des clients qui exploitent des instances auto-hébergées, après avoir observé des tentatives d'exploitation.
L'attaque atteint le serveur par le biais d'une expression régulière spécialement conçue, c'est-à-dire un motif servant à rechercher du texte, insérée dans une configuration CI/CD, qui définit les tâches automatisées de compilation et de déploiement de logiciels. La faiblesse se situe dans le Regular Expression Compiler de GitLab et implique un dépassement d'entier, soit un calcul qui dépasse la plage numérique du logiciel. BleepingComputer cite GitLab, selon qui une validation insuffisante de ces expressions pourrait, dans certaines conditions, permettre à un utilisateur non authentifié d'exécuter du code sur le serveur.
L'exposition potentielle ne se limite pas à quelques installations : BleepingComputer a repris le décompte de Shadowserver, qui recense près de 2 800 instances GitLab CE exposées sur internet, sans que l'état de leur correction soit précisé.
La Binding Operational Directive 26-04 de la CISA impose aux agences fédérales civiles de l'exécutif américain de donner la priorité aux vulnérabilités exploitées répondant aux critères sur les systèmes exposés publiquement. Elle fixe également des attentes en matière de vérification d'une éventuelle compromission avant l'application des correctifs. BleepingComputer a signalé une échéance de correction fixée au dimanche pour cette faille. Ces exigences s'appliquent à ces agences fédérales ; la CISA encourage par ailleurs les autres organisations à donner la priorité à la correction.
Les administrateurs des serveurs GitLab concernés devraient suivre l'appel de l'entreprise à appliquer le correctif immédiatement, en installant 19.4.2, 19.3.5 ou 19.2.8 selon leur branche de publication. Les clients disposant d'instances auto-hébergées peuvent également utiliser les détections de menaces publiées par GitLab pour étayer leur enquête sur les tentatives d'exploitation.
