L’essentiel
- Le 12 octobre 2026, le CERT-FR publie l’avis CERTFR-2026-AVI-1294 : de multiples vulnérabilités touchent GitLab CE/EE (19.2.x, 19.3.x et 19.4.x non corrigées), avec risques d’exécution de code à distance, atteinte à la confidentialité, SSRF et XSS.
- GitLab diffuse le même jour les correctifs 19.4.2, 19.3.5 et 19.2.8 ; la 19.3.4 est remplacée par 19.3.5 pour corriger un bug sur les pages de merge request avec l’intégration Ona.
- CVE-2026-97229 (Critical, CVSS 10.0) : sous certaines conditions, un utilisateur non authentifié pourrait exécuter du code arbitraire sur le serveur via une expression régulière forgée dans une configuration CI/CD.
- D’autres failles High concernent le CI/CD (pipelines sur branches protégées, cache de fichiers raw), GraphQL (notes confidentielles), GitLab Duo Agent (injection dans le contexte IA) et l’exposition de secrets dans les logs GitLab Pages.
Ce que dit le CERT-FR
Le 12 octobre 2026, le CERT-FR diffuse l’avis CERTFR-2026-AVI-1294 sur plusieurs vulnérabilités dans GitLab Community Edition et Enterprise Edition. Le résumé officiel mentionne une exécution de code arbitraire à distance, une atteinte à la confidentialité et à l’intégrité des données, un contournement de politique de sécurité, des SSRF et des XSS. Sont concernées les versions 19.3.x antérieures à 19.3.4 (seuil CERT ; correctif éditeur 19.3.5), 19.4.x antérieures à 19.4.2 et toutes les 19.2.x antérieures à 19.2.8. L’Agence renvoie au bulletin de sécurité GitLab pour les correctifs.
Correctifs éditeur : self-managed en première ligne
GitLab publie le 12 octobre 2026 les versions 19.4.2, 19.3.5 et 19.2.8 pour CE et EE. Le communiqué recommande une mise à jour immédiate de toutes les installations self-managed. GitLab.com tourne déjà sur la version patchée ; les clients GitLab Dedicated n’ont pas d’action à mener côté hébergement managé. Pour les équipes qui avaient basculé sur 19.3.4, l’éditeur signale un bug sur les pages de merge request lorsque l’intégration Ona est activée — corrigé en 19.3.5.
RCE critique et chaîne CI/CD
CVE-2026-97229 (Critical, CVSS 10.0) : GitLab indique qu’un utilisateur non authentifié pourrait, sous certaines conditions, exécuter du code arbitraire sur le serveur via une expression régulière spécialement conçue dans une configuration CI/CD, faute de validation suffisante du compilateur de regex. Au-delà de ce scénario, le patch du 12 octobre corrige plusieurs failles High sur la chaîne CI/CD : exécution de pipelines sur branches protégées sans autorisation (CVE-2026-16301), empoisonnement de cache sur fichiers raw de dépôt pouvant exposer des variables d’environnement protégées (CVE-2026-14814), ou exécution de pipelines après transfert de projet (CVE-2026-81839, EE).
Côté surface web et collaboration : XSS via coloration syntaxique (CVE-2026-92883), lecture de notes confidentielles sur projets publics via GraphQL (CVE-2026-16275), SSRF lors d’imports de dépôt (CVE-2026-5954). Sur GitLab EE, GitLab Duo Agent Platform est touché par une injection dans le contexte des instructions IA (CVE-2026-96893). GitLab Pages peut laisser des tokens et secrets apparaître dans les logs (CVE-2026-101168).
- Inventaire : instances Omnibus, Helm ou source — version exacte, mode HA, runners partagés.
- Seuil unique : monter au minimum sur 19.4.2, 19.3.5 ou 19.2.8 selon la branche supportée.
- Fenêtre de maintenance : traiter la RCE non authentifiée comme patch P0 ; planifier redémarrage et vérif des pipelines critiques.
- Runners : après upgrade, relancer un pipeline de référence sur branche protégée pour valider les autorisations CI/CD.
- Duo / agents IA : si EE avec Duo Agent, vérifier les politiques d’accès aux agents après patch (CVE-2026-96893).
Sources
Cette note a été rédigée avec l’aide d’outils d’intelligence artificielle à partir des sources citées, puis relue et publiée sous la responsabilité de Jordan FOUASSIER, directeur de la publication. Nous résumons les faits et proposons notre lecture ; les textes et visuels des sources ne sont pas reproduits. Une erreur ? Écrivez à contact@aigyrosgroup.com.