CVE-2026-97229 : GitLab corrige un RCE CVSS 10.0 dans CI/CD

CVE-2026-97229 : quand une regex dans votre pipeline CI/CD devient une porte d'entrée

Le 12 octobre 2026, GitLab a publié des versions de correctifs d'urgence pour GitLab Community Edition (CE) et Enterprise Edition (EE), couvrant une vulnérabilité critique référencée sous CVE-2026-97229. Avec un score CVSS v3.1 de 10.0 — le score maximal possible — cette faille représente l'une des vulnérabilités les plus sévères jamais divulguées dans la plateforme GitLab. L'annonce a immédiatement déclenché une alerte maximale dans la communauté DevSecOps mondiale, des dizaines de milliers d'organisations utilisant des instances GitLab auto-hébergées dans leurs chaînes de développement logiciel.

La vulnérabilité réside dans le compilateur d'expressions régulières utilisé par le moteur CI/CD de GitLab pour valider les configurations de pipeline (fichiers .gitlab-ci.yml). Plus précisément, un débordement d'entier (integer overflow) dans la routine de compilation des regex permet à un attaquant de provoquer une écriture hors limites en mémoire (out-of-bounds write) lorsqu'une expression régulière malformée et spécialement construite est soumise comme valeur dans une configuration CI/CD. L'attaquant n'a pas besoin de disposer d'un compte sur l'instance GitLab pour exploiter cette faille : la soumission d'une merge request publique ou d'un fichier .gitlab-ci.yml via l'API d'un projet public suffit à déclencher le traitement de la regex par le moteur vulnérable.

Du point de vue de l'impact technique, un attaquant qui exploite CVE-2026-97229 peut exécuter du code arbitraire dans le contexte du processus GitLab Rails, qui s'exécute avec des privilèges système significatifs sur le serveur. Dans les déploiements standard GitLab auto-hébergés, cela signifie un accès potentiel à l'ensemble des dépôts de code hébergés sur l'instance, aux secrets CI/CD, aux tokens d'API, aux variables d'environnement des pipelines et aux clés de déploiement — une mine d'or pour un attaquant cherchant à compromettre la chaîne de livraison logicielle d'une organisation.

Les versions affectées couvrent les branches actives de GitLab : les versions 19.2.x antérieures à 19.2.8, les versions 19.3.x antérieures à 19.3.5, et les versions 19.4.x antérieures à 19.4.2. Les versions plus anciennes que 19.2.0 n'ont pas fait l'objet d'une analyse officielle dans cet advisory, mais GitLab recommande à toutes les organisations encore sur des branches EOL (End of Life) de migrer immédiatement vers une version supportée et patchée. La politique de support de GitLab couvre les trois dernières versions majeures actives, toutes trois concernées par ce correctif.

La découverte de CVE-2026-97229 est attribuée au chercheur en sécurité connu sous le pseudonyme joaxcar, qui a signalé la vulnérabilité via le programme de bug bounty de GitLab hébergé sur la plateforme HackerOne. Selon les informations disponibles, la divulgation a suivi le processus de responsible disclosure standard : GitLab a été notifié en amont et a disposé d'un délai raisonnable pour développer et tester les correctifs avant la publication publique. La prime accordée par GitLab dans le cadre de son programme HackerOne pour une vulnérabilité de cette sévérité peut atteindre plusieurs dizaines de milliers de dollars.

Un point important à souligner est l'absence, au moment de la divulgation, d'exploitation confirmée dans la nature (in-the-wild). GitLab et les équipes de threat intelligence n'avaient pas connaissance d'attaques exploitant CVE-2026-97229 au moment de la publication du correctif. Cependant, l'expérience des vulnérabilités précédentes de sévérité maximale — notamment CVE-2021-22205 (GitLab RCE exploitée massivement peu après sa publication) ou CVE-2023-7028 (account takeover GitLab exploité en masse dans les semaines suivantes) — montre que la fenêtre entre la publication d'un correctif et le début de l'exploitation active est souvent très courte, parfois inférieure à 48 heures.

La procédure de mise à jour recommandée par GitLab dépend du mode de déploiement. Pour les instances auto-hébergées déployées via les packages Omnibus (le mode de déploiement le plus courant), la mise à jour vers 19.4.2, 19.3.5 ou 19.2.8 suit la procédure standard apt-get update puis apt-get install gitlab-ee (ou gitlab-ce). Pour les déploiements via Helm Chart sur Kubernetes, des charts mis à jour sont disponibles simultanément avec les correctifs. GitLab.com (l'instance cloud hébergée par GitLab Inc.) a été mise à jour automatiquement et n'est pas exposée. Les runners GitLab CI/CD déployés séparément ne sont pas directement vulnérables à cette CVE spécifique.

Dans les heures suivant la publication du correctif, Dark Web Intelligence et plusieurs autres services de threat intelligence ont relayé l'alerte, soulignant l'urgence absolue de la mise à jour. Selon les analyses de Penligent AI et GBHackers, la surface d'attaque est particulièrement large car de nombreuses instances GitLab auto-hébergées acceptent des contributions publiques, exposant ainsi le moteur de compilation regex à des entrées non fiables sans aucune barrière d'authentification préalable. Le bulletin hebdomadaire de TechJack Solutions classe CVE-2026-97229 parmi les trois vulnérabilités les plus critiques de la semaine du 12 octobre 2026.

Pourquoi CI/CD est devenu l'un des vecteurs d'attaque les plus redoutés

GitLab est au coeur de millions de chaînes de développement logiciel dans le monde entier : startups, ETI, grandes entreprises, administrations publiques et acteurs de la défense. Une instance GitLab compromise ne donne pas seulement accès au code source — elle ouvre la porte à l'ensemble de la supply chain logicielle de l'organisation. Les pipelines CI/CD hébergent des secrets critiques : tokens d'accès aux registres de containers, clés API de services cloud (AWS, Azure, GCP), certificats de signature de code, credentials de déploiement sur les environnements de production. L'accès à ces éléments permet à un attaquant sophistiqué d'injecter du code malveillant directement dans les artefacts livrés aux utilisateurs finaux.

Les précédents dans ce domaine sont éloquents. L'attaque SolarWinds Orion (2020) a démontré comment la compromission d'un environnement de build pouvait conduire à une compromission en cascade touchant des milliers d'organisations clientes. Plus récemment, les incidents 3CX (2023) et XZ Utils (2024) ont confirmé que les acteurs APT les plus sophistiqués ciblent délibérément les outils DevOps comme vecteur d'attaque initial de la supply chain. Une vulnérabilité CVSS 10.0 comme CVE-2026-97229, permettant l'exécution de code sans authentification dans GitLab, représente exactement le type de faille que ces groupes recherchent activement pour compromettre des cibles de haute valeur.

Pour les organisations qui utilisent GitLab auto-hébergé dans leur chaîne de livraison logicielle, l'évaluation du risque doit tenir compte du fait que l'instance est souvent beaucoup moins protégée que les environnements de production. Il n'est pas rare de trouver des instances GitLab accessibles depuis Internet avec des configurations par défaut, des versions non à jour et des secrets CI/CD extrêmement sensibles. La combinaison de ces facteurs fait de CVE-2026-97229 un risque de niveau catastrophique pour toute organisation qui n'applique pas le correctif dans les heures suivant la publication de l'advisory.

Pour les équipes DevSecOps, cet incident renforce plusieurs principes fondamentaux : la nécessité d'un inventaire à jour de toutes les instances GitLab dans l'organisation (incluant les instances shadow IT déployées par des équipes), l'importance d'un processus de gestion des correctifs qui priorise les vulnérabilités critiques des outils DevOps avec un SLA inférieur à 24 heures, et la mise en place de mécanismes de détection des exploits pour réduire la fenêtre d'exposition résiduelle pendant le déploiement des patches.

Ce qu'il faut retenir

• CVE-2026-97229 est un RCE sans authentification CVSS 10.0 dans GitLab CE/EE, exploitable via une regex malformée dans une configuration CI/CD — mettre à jour immédiatement vers 19.4.2, 19.3.5 ou 19.2.8.
• Toutes les instances GitLab auto-hébergées accessibles depuis Internet sont à risque critique tant que le patch n'est pas appliqué — la fenêtre avant exploitation active est historiquement très courte pour ce type de faille.
• Auditer sans délai les secrets CI/CD stockés dans GitLab (tokens, clés API, credentials cloud) et les révoquer ou régénérer si une exposition est suspectée, même en l'absence d'indices de compromission avérée.