Aller au contenuistheinternetok
Tous les incidents

Faille de sécurité·Critique

Serveurs GitLab : une faille critique désormais exploitée

Correctif dispoLes attaquants l'utilisent déjàConcerne les propriétaires de sites
GitLab Community and Enterprise Edition (self-managed)

Ce que ça change pour vous

Rien de visible pour vous ; les équipes qui hébergent GitLab doivent mettre à jour.

Une faille de GitLab auto-hébergé permet d'exécuter du code sur le serveur via un réglage CI/CD piégé, sans compte. GitLab l'a corrigée le 12 octobre et la CISA indique que des attaquants l'utilisent.

Début : 12 oct. 2026Mis à jour : 29 oct. 2026

Poster sur X

Que faire ?

Vous
Rien à faire. GitLab.com est déjà corrigé.
Si vous gérez un site ou une appli
Passez GitLab auto-hébergé en 19.4.2, 19.3.5 ou 19.2.8 ou plus, puis cherchez des signes de compromission. Les autres applis Ruby qui compilent des expressions régulières saisies par l'utilisateur doivent passer à Ruby 4.0.9, 3.4.12 ou 3.3.13.

Ce qui est touché

CVE-2026-97229Score de gravité 10 sur 10

Chronologie

  1. Correctif dispo · 29 oct. 2026

    La CISA ajoute la CVE-2026-97229 à son catalogue des vulnérabilités connues et exploitées.

    CISA

  2. Correctif dispo · 23 oct. 2026

    Ruby publie des correctifs pour les bogues d'expressions régulières sous-jacents, qui peuvent toucher d'autres applis.

    Ruby

  3. Correctif dispo · 12 oct. 2026

    GitLab publie 19.4.2, 19.3.5 et 19.2.8 qui corrigent la CVE-2026-97229 (CVSS 10), une exécution de code à distance sans authentification.

    GitLab

Sources