GitLab CVE-2026-85706 : faille CVSS 10 exploitée activement

Un CVSS 10 dans l'API des commits

Le 10 septembre 2026, GitLab a publié en urgence des versions correctives pour toutes ses branches stables afin de combler CVE-2026-85706, une vulnérabilité de traversée de chemin présente dans l'API des commits du dépôt. La faille reçoit la note maximale CVSS 10.0, combinant l'absence totale d'authentification requise, une complexité d'attaque faible et un impact potentiellement catastrophique sur la confidentialité des données hébergées.

Techniquement, la vulnérabilité exploite un défaut de confinement de chemin dans le traitement des requêtes adressées à l'API repository commits. Lorsqu'un attaquant formule une requête spécifiquement construite, l'application ne valide pas correctement les chemins fournis et retourne le contenu de fichiers situés en dehors de l'arborescence du dépôt. Sont potentiellement exposés : fichiers de configuration système, clés privées SSH, jetons de service, variables d'environnement, ou encore le fichier /etc/passwd du serveur. Dans un contexte DevSecOps, un accès à ces données peut immédiatement ouvrir la voie à une élévation de privilèges ou à une compromission totale du pipeline CI/CD.

La plage des versions concernées est large. Toutes les éditions GitLab Community Edition et Enterprise Edition sont vulnérables depuis la version 18.7 jusqu'aux versions 19.1.7, 19.2.5 et 19.3.1 incluses. Les versions 19.3.2, 19.2.6 et 19.1.8 publiées le 10 septembre constituent les seules corrections disponibles. Les instances GitLab.com gérées directement par GitLab Inc. ont été mises à jour automatiquement, mais toutes les installations auto-hébergées — qu'elles soient sous forme de paquets Linux, de conteneurs Docker ou d'images Helm — doivent être traitées manuellement par les équipes opérationnelles.

Moins de 24 heures après la publication du correctif, la société spécialisée watchTowr a confirmé l'existence de sondes actives en conditions réelles (in-the-wild probes) depuis 06h00 UTC le 11 septembre 2026. Ces sondes attestent que des acteurs malveillants ont d'ores et déjà commencé à scanner les instances exposées et à tester la faille. L'espace de temps entre publication d'un patch et exploitation active — désormais inférieur à 24 heures pour les vulnérabilités critiques — illustre l'accélération structurelle de la vitesse d'attaque observée en 2026.

La Cybersecurity and Infrastructure Security Agency américaine (CISA) a ajouté CVE-2026-85706 à son catalogue des vulnérabilités connues exploitées (KEV) et a émis un avertissement formel à destination des agences fédérales et des opérateurs d'infrastructures critiques utilisant GitLab. Les agences fédérales soumises à la directive BOD 22-01 disposent de 21 jours pour déployer le correctif, un délai qui s'applique à titre de référence pour les organisations privées souhaitant calibrer leur urgence interne.

Pour les organisations qui ne peuvent pas immédiatement appliquer le patch, GitLab a communiqué un contournement partiel : désactiver temporairement les fonctionnalités d'API de commits publiques et restreindre l'accès réseau aux instances GitLab en appliquant des règles de pare-feu strictes limitant les requêtes entrantes aux seules IP de confiance. Ces mesures d'atténuation ne suppriment pas la vulnérabilité mais réduisent significativement la surface d'attaque exposée dans l'attente d'une mise à jour planifiée.

Le contexte est particulièrement préoccupant : GitLab est l'un des outils les plus déployés dans les chaînes DevSecOps des grandes organisations, avec plusieurs millions d'instances auto-hébergées dans le monde. Une exploitation réussie de CVE-2026-85706 peut permettre à un attaquant externe d'extraire des secrets critiques sans jamais disposer d'un compte sur la plateforme, rendant les journaux d'authentification totalement silencieux sur l'intrusion. Plusieurs groupes spécialisés dans les attaques supply chain intègrent ce type de failles dans leurs chaînes d'exploitation initiale.

GitLab a indiqué que la vulnérabilité a été découverte et rapportée de manière responsable dans le cadre de son programme Bug Bounty. Le chercheur à l'origine du rapport sera crédité dans le prochain advisory complet. La publication du bulletin de sécurité complet avec les détails techniques est attendue dans les prochains jours, une fois que la fenêtre de patch aura permis à une majorité d'utilisateurs de se mettre à jour — pratique standard pour retarder la publication d'un PoC exploitable.

Un vecteur d'attaque supply chain de premier choix

Les vulnérabilités affectant les plateformes de gestion de code source constituent une catégorie à risque systémique particulièrement élevé. GitLab et GitHub sont les gardiens du code de milliers d'organisations, mais aussi des pipelines CI/CD qui construisent, testent et déploient ce code. Compromettre un serveur GitLab, c'est potentiellement accéder à la totalité du patrimoine logiciel d'une entreprise, à ses clés de signature, à ses tokens d'accès cloud, à ses secrets d'infrastructure. La valeur d'un tel accès initial pour un attaquant est considérable.

CVE-2026-85706 s'inscrit dans une tendance inquiétante observée depuis le début de l'année 2026 : les outils DevOps deviennent des cibles de premier choix pour les acteurs étatiques et les groupes de ransomware. Après les attaques contre JFrog Artifactory et les exploits chaînés sur PaperCut, c'est désormais GitLab qui se retrouve sous pression. Les attaquants ont compris que la compromission d'une forge logicielle offre un accès en amont de toute la chaîne de production, avant même que du code malveillant n'ait besoin d'être déployé dans des environnements cibles.

Du point de vue des équipes de sécurité, la gestion de cette vulnérabilité pose un défi opérationnel réel. Les mises à jour de GitLab ne sont pas anodines : elles nécessitent souvent des fenêtres de maintenance, des tests de non-régression sur les pipelines existants, et une coordination avec les équipes de développement. Dans les grandes organisations, le délai entre la publication d'un correctif et son déploiement effectif peut dépasser plusieurs semaines — une fenêtre d'exposition inacceptable face à une faille CVSS 10 déjà sous exploitation active.

Pour les entreprises françaises, le risque réglementaire s'ajoute au risque technique. Une exploitation réussie de CVE-2026-85706 exposant des données personnelles hébergées sur un serveur GitLab constitue une violation de données au sens du RGPD, déclenchant les obligations de notification à la CNIL dans les 72 heures. La combinaison risque technique/risque réglementaire rend le patch non-négociable pour toute organisation sérieuse dans sa posture de sécurité, qu'elle soit soumise à NIS2 ou non.

Ce qu'il faut retenir

• Mettre à jour immédiatement toutes les instances GitLab CE/EE auto-hébergées vers les versions 19.3.2, 19.2.6 ou 19.1.8.
• En attendant le patch, isoler les instances GitLab derrière un pare-feu et restreindre l'accès à l'API commits aux seules IP de confiance.
• Auditer les journaux d'accès à l'API commits pour détecter toute requête anormale remontant au 10-11 septembre 2026 : une lecture de fichiers sensibles peut être passée inaperçue sans authentification.