Plus de 1 000 serveurs GitLab accessibles depuis internet restent vulnérables à une faille que des attaquants exploitent activement pour exécuter du code à distance, a rapporté BleepingComputer le 2 novembre, en citant les mesures de Shadowserver. GitLab a publié les correctifs le 12 octobre, laissant aux administrateurs d'installations auto-gérées non corrigées une mise à jour urgente à appliquer.
La vulnérabilité, CVE-2026-97229, touche GitLab Community Edition (CE) et Enterprise Edition (EE). La CISA a confirmé une exploitation active dans une alerte du 29 octobre annonçant son ajout au catalogue des vulnérabilités connues exploitées (Known Exploited Vulnerabilities), qui recense les failles utilisées dans de véritables attaques.
Ce décompte concerne les serveurs vulnérables. Shadowserver a indiqué dimanche qu'il suivait plus de 1 000 instances vulnérables à CVE-2026-97229.
Comment la faille permet l'exécution de code
La vulnérabilité, de gravité maximale, repose sur un dépassement d'entier, une situation où un calcul dépasse la plage que peut représenter un programme. Elle se situe dans le composant CI/CD Regular Expression Compiler de GitLab, qui traite les motifs de recherche de texte présents dans les fichiers de configuration des pipelines automatisés de compilation, de test et de déploiement.
Dans sa déclaration du 12 octobre, reprise par BleepingComputer, GitLab a indiqué qu'une validation insuffisante de ces motifs pouvait, dans certaines conditions, permettre à un utilisateur non authentifié d'exécuter du code arbitraire sur le serveur. L'entrée d'attaque est une expression régulière spécialement conçue dans une configuration CI/CD.
GitLab a précisé que les versions CE et EE 19.4.2, 19.3.5 et 19.2.8 contiennent les correctifs de sécurité. L'entreprise a vivement recommandé à toutes les installations auto-gérées de passer immédiatement à une version supérieure. Elle a précisé que GitLab.com était déjà corrigé et que les clients de GitLab Dedicated n'avaient aucune action à effectuer.
Une seconde faille du compilateur laisse exposées davantage d'instances
Shadowserver a également signalé plus de 11 300 instances vulnérables à CVE-2026-110264, parmi les quelque 39 000 instances GitLab qu'il observe chaque jour. Cette faille distincte, de gravité maximale, corrigée le mois dernier, permet elle aussi d'exécuter du code arbitraire sur les instances ciblées. La confirmation d'exploitation de la CISA pour CVE-2026-97229 concerne cet identifiant précis ; le chiffre d'exposition plus élevé concerne CVE-2026-110264.
Parmi les autres correctifs GitLab de cette année figurent le contournement de l'authentification à deux facteurs de janvier, de gravité élevée, CVE-2026-0723, ainsi que la faille de l'API des commits de dépôt, de gravité maximale, de septembre, CVE-2026-85706, qui peut exposer des identifiants et d'autres secrets. La CISA a signalé cette dernière comme exploitée activement après que watchTowr a rapporté que des attaquants scannaient les serveurs vulnérables.
Selon BleepingComputer, la CISA a ajouté six failles GitLab à son catalogue de vulnérabilités exploitées depuis novembre 2021, dont une utilisée dans des attaques par rançongiciel. GitLab affirme que sa plateforme compte plus de 70 millions d'utilisateurs inscrits et qu'elle est utilisée par plus de la moitié des entreprises du Fortune 100 dans le monde.
Ce que doivent faire les administrateurs
BleepingComputer a évoqué un délai de correction fixé au dimanche pour les agences fédérales. La directive opérationnelle contraignante de la CISA s'applique aux agences civiles du pouvoir exécutif fédéral américain. Elle donne la priorité à la correction rapide des vulnérabilités répertoriées sur des actifs exposés publiquement, lorsque leur exploitation confère un contrôle total. Elle fixe aussi des attentes quant à la vérification d'une éventuelle compromission des systèmes par des attaquants avant l'application du correctif. La CISA encourage les autres organisations à traiter elles aussi en priorité les failles répertoriées.
Les administrateurs d'installations GitLab auto-gérées doivent suivre la recommandation de GitLab et passer immédiatement aux versions CE ou EE corrigées 19.4.2, 19.3.5 ou 19.2.8.
