GitLab : une faille critique notée 10/10 corrigée dans les versions 19.4.2, 19.3.4 et 19.2.8

Le 12 octobre 2026, GitLab a publié les versions 19.4.2, 19.3.4 et 19.2.8 de ses éditions Community (CE) et Enterprise (EE). Elles corrigent 24 vulnérabilités. La plus grave, CVE-2026-97229, a la note maximale de 10 sur l'échelle CVSS, le barème standard de gravité des failles. Le même jour, le CERT-FR, le centre gouvernemental de veille et d'alerte rattaché à l'ANSSI, a publié l'avis CERTFR-2026-AVI-1294. GitLab recommande de mettre à jour immédiatement toutes les installations auto-hébergées.

Une expression régulière piégée dans la configuration CI/CD

CVE-2026-97229 est un dépassement d'entier dans le compilateur d'expressions régulières utilisé par le CI/CD (intégration et déploiement continus) de GitLab. Selon l'éditeur, une expression régulière spécialement conçue dans une configuration CI/CD aurait pu permettre à un utilisateur non authentifié d'exécuter du code arbitraire sur le serveur GitLab, « sous certaines conditions ». GitLab ne précise pas lesquelles. Le défaut a été signalé par le chercheur joaxcar, via le programme de primes aux bogues HackerOne.

Les versions touchées sont la branche 19.2 avant la 19.2.8, la 19.3 avant la 19.3.4 et la 19.4 avant la 19.4.2. Le bulletin de GitLab ne fait état d'aucune exploitation à ce stade.

Les autres failles, dont une injection de prompt dans Duo

Le correctif traite aussi cinq autres failles de gravité élevée :

• une faille XSS (injection de script dans les pages) dans la coloration syntaxique (CVE-2026-92883, note 8,7) ;
• un défaut d'autorisation dans la création de pipelines en aval (CVE-2026-16301, note 8,5) ;
• un empoisonnement de cache lié à l'accès aux fichiers du dépôt (CVE-2026-14814, note 8,2) ;
• un défaut d'autorisation dans les politiques d'exécution des pipelines planifiés, en édition EE (CVE-2026-81839, note 7,7) ;
• une injection de prompt dans GitLab Duo Agent Platform, la plateforme d'agents d'IA de l'éditeur, en édition EE (CVE-2026-96893, note 7,3).

Les autres correctifs concernent surtout des contrôles d'autorisation, notamment dans l'API GraphQL, le registre de paquets et les jetons d'accès.

Que faire ?

• Pour les installations auto-hébergées, passez à la 19.4.2, à la 19.3.4 ou à la 19.2.8, selon votre branche. GitLab recommande à tous ses clients de passer à la dernière version corrective de leur version maintenue.
• GitLab.com est déjà corrigé. Les clients de GitLab Dedicated n'ont rien à faire.
• La mise à jour contient des migrations de base de données : une instance sur un seul serveur sera indisponible pendant l'opération. Les architectures à plusieurs nœuds peuvent suivre la procédure de mise à jour sans interruption.
• Si vous utilisez l'intégration Ona, sachez que la 19.3.4 contient un bogue qui affecte les pages des demandes de fusion (merge requests). Le correctif est prévu dans la 19.3.5.
• GitLab ne propose aucun contournement : la mise à jour est la seule mesure indiquée.