GitLab : RCE non authentifiée en CVSS 10 (CVE-2026-97229)

Le CERT-FR a publié l'avis CERTFR-2026-AVI-1294 couvrant 24 vulnérabilités dans GitLab. La plus grave, CVE-2026-97229, est une exécution de code arbitraire à distance non authentifiée, notée CVSS 10.0.

Ce que fait la faille

D'après le bulletin de sécurité GitLab, la CVE-2026-97229 est un dépassement d'entier dans le compilateur d'expressions régulières de la CI/CD. Une expression régulière spécialement conçue dans une configuration CI/CD, faute d'une validation suffisante, « aurait pu permettre à un utilisateur non authentifié d'exécuter du code arbitraire sur le serveur GitLab ».

Le vecteur CVSS est AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H : réseau, sans privilège, sans interaction, périmètre modifié. D'où le score maximal — une simple requête vers le chemin d'analyse CI/CD suffit, sans compte.

Ce qui est affecté

Éditions Community (CE) et Enterprise (EE) :

• >= 19.2 antérieures à 19.2.8
• >= 19.3 antérieures à 19.3.4
• >= 19.4 antérieures à 19.4.2

Correctifs : 19.2.8, 19.3.4 et 19.4.2. GitLab.com et GitLab Dedicated sont déjà corrigés ; l'exposition concerne les instances auto-hébergées.

État de l'exploitation

Aucune exploitation en conditions réelles n'est rapportée à ce stade, et aucun PoC public n'est disponible. La faille a été remontée via le programme HackerOne de GitLab par un chercheur sous le pseudonyme joaxcar. L'absence de PoC n'est pas une raison de différer le correctif sur une instance exposée.

Que faire

1. Identifier les instances auto-hébergées et relever leur version exacte.
2. Mettre à jour vers 19.4.2, 19.3.4 ou 19.2.8 selon la branche — en priorité absolue sur toute instance accessible depuis Internet.
3. Traiter en premier les instances acceptant des entrées non fiables : projets publics, inscription ouverte, tout flux où un tiers peut influencer la configuration des pipelines.
4. À défaut de correctif immédiat, placer la façade web derrière une authentification ou une liste d'autorisation et restreindre qui peut soumettre une configuration CI/CD.

Contexte

C'est la deuxième RCE critique signalée ce mois-ci sur la chaîne CI/CD de GitLab, après la CVE-2026-90970 dans l'AI Gateway. La différence tient dans un détail qui décide de l'urgence : l'autre exigeait un utilisateur authentifié, celle-ci n'exige aucun compte. Le compilateur d'expressions régulières de la CI/CD devient un point faible récurrent — il analyse une entrée influencée par l'attaquant sur un serveur qui concentre code, secrets et clés de déploiement.