Les versions 19.4.2, 19.3.5 et 19.2.8 de GitLab Community Edition et Enterprise Edition ont été publiées le 12 octobre 2026. Ces mises à jour apportent des correctifs importants pour des failles de sécurité. GitLab recommande fermement que toutes les installations gérées par l’utilisateur soient mises à niveau immédiatement pour se prémunir contre des menaces sérieuses.

Le risque le plus critique concerne la CVE-2026-97229. Cette faille, classée CVSS 10.0, permettait, dans certaines conditions, à un utilisateur non authentifié d’exécuter du code arbitraire sur le serveur GitLab. Le problème venait d’une validation insuffisante des expressions régulières dans le compilateur CI/CD. Selon docs.gitlab.com, cette vulnérabilité affecte toutes les versions antérieures à 19.2.8, 19.3.5 et 19.4.2, quel que soit le type de déploiement.

Outre ce scénario d’accès total, d’autres failles exigent une attention particulière. La CVE-2026-92883 est une vulnérabilité de type Cross-site Scripting. Elle permettait, sous certaines conditions, à un utilisateur authentifié d’injecter du JavaScript dans le navigateur d’autres utilisateurs via un dépôt spécialement construit, à cause d’un défaut de désinfection des attributs HTML dans les rendus de syntaxe. C’est une menace plus ciblée, mais sérieuse pour l’intégrité des sessions.

Les failles d’autorisation et les menaces spécifiques

GitLab a aussi corrigé des problèmes d’autorisation. La CVE-2026-16301 concernait un défaut de contrôle d’autorisation dans le service de création de pipelines en aval. Il permettait à un utilisateur avec le rôle de Développeur d’exécuter des pipelines sur des branches protégées sans autorisation. De même, la CVE-2026-81839, qui touche l’Enterprise Edition, concernait une mauvaise gestion de la politique d’exécution des pipelines planifiés dans les projets transférés.

Deux autres failles notables sont plus spécifiques. La CVE-2026-14814 permettait à un attaquant de potentiellement corrompre des réponses en cache pour des fichiers de dépôt bruts, ce qui pouvait mener à l’exécution de contenu malveillant par des pipelines CI/CD ciblés. Enfin, la CVE-2026-96893 affecte la plateforme GitLab Duo Agent pour l’Enterprise Edition. Elle concerne une injection dans le contexte de conversation des agents d’IA, pouvant entraîner une exécution de commande non désirée par un utilisateur authentifié.

Que faire maintenant

L’avis de GitLab est clair : migrer vers les versions corrigées est une priorité absolue. Étant donné que la CVE-2026-97229 est exploitée sans authentification, elle représente le risque le plus immédiat. Si votre installation est antérieure aux versions annoncées, l’action doit être prise sans délai. Les instances gérées par GitLab.com ou GitLab Dedicated sont déjà mises à jour, mais les installations auto-hébergées restent sous la responsabilité des équipes opérationnelles. GitLab a d’ailleurs publié six détections de menaces pour aider les clients à surveiller les tentatives d’exploitation de la CVE-2026-97229 sur leurs systèmes.

Il est intéressant de noter que d’autres systèmes font face à des menaces similaires. Par exemple, le Catalogue des Vulnérabilités Exploitées par CISA signale des failles comme celle trouvée dans WordPress, où une vulnérabilité RCE a été signalée comme activement exploitée par des attaquants, ce qui souligne la pression constante sur les équipes de gestion de la sécurité.

Fiche technique

Données : NVD (NIST), catalogue KEV de la CISA (CC0) et GitHub Advisory Database (CC BY 4.0, données adaptées).

Sources

• GitLab Critical Patch Release: 19.4.2, 19.3.5, 19.2.8, docs.gitlab.com
• Known Exploited Vulnerabilities Catalog | CISA, cisa.gov
• Weekly Report: Microsoft Edgeに複数の脆弱性, JPCERT/CC, 5 novembre 2026
• Sicherheitslücken in Progress WS_FTP ermöglichen Kompromittierung, Heise, 2 novembre 2026
• CISA flags WordPress RCE flaw as actively exploited in attacks, BleepingComputer, 4 novembre 2026
• GHSA-p6jj-qrp3-7m4g : WordPress Core is vulnerable to Remote Code Execution in versions 4.7 through 7.1.3. This…, GitHub Advisory Database (CC BY 4.0)
• CVE-2026-119977, NVD (NIST)
• CVE-2026-119977 dans le catalogue KEV, CISA
• GHSA-9hj5-r43h-h3xg : GitLab has remediated an issue in GitLab CE/EE affecting all versions from 19.2 before…, GitHub Advisory Database (CC BY 4.0)
• CVE-2026-97229, NVD (NIST)
• CVE-2026-97229 dans le catalogue KEV, CISA

Crédits photo

• Image en une : NCCS Discover Supercomputer. Original from NASA, par NASA, CC0, via Rawpixel via Openverse (recadrée)
• Image dans l’article : The heart of the NASA Center for Climate Simulation (NCCS) is the “Discover&rdquo…, par NASA, CC0, via Rawpixel via Openverse (recadrée)