Le 29 octobre 2026, CISA a ajouté CVE-2026-97229 au catalogue des vulnérabilités exploitées, le KEV, en invoquant des preuves d’exploitation active. GitLab décrit un débordement d’entier dans le compilateur d’expressions régulières CI/CD qui pourrait, sous certaines conditions, permettre à une personne non authentifiée d’exécuter du code sur un serveur GitLab. Pour corriger la faille, les administrateurs doivent vérifier la version de leur branche et, si leur installation utilise un Ruby distinct, mettre aussi ce runtime à jour. CISA GitLab
Versions GitLab concernées et correctifs
GitLab classe comme concernées les versions Community Edition et Enterprise Edition antérieures à certains seuils, différents selon la branche. Les versions corrigées sont 19.2.8, 19.3.5 et 19.4.2. GitLab
| Branche | Versions concernées | Corrigée à partir de |
| 19.2 | Antérieures à 19.2.8 | 19.2.8 |
| 19.3 | Antérieures à 19.3.5 | 19.3.5 |
| 19.4 | Antérieures à 19.4.2 | 19.4.2 |
Dans son avis du 12 octobre, GitLab indiquait que GitLab.com exécutait déjà une version corrigée et que les instances GitLab Dedicated avaient été corrigées avant la publication de l’avis. GitLab a également publié six détections destinées aux clients qui gèrent eux-mêmes leur instance.
Une mise à jour de GitLab peut laisser Ruby vulnérable
Le correctif concerne le moteur Onigmo, intégré à Ruby. Les paquets et images officiels de GitLab comprennent un Ruby corrigé, mais une installation personnalisée peut utiliser un runtime fourni séparément. Dans ce cas, mettre à niveau l’application GitLab ne suffit pas nécessairement.
Alpine Linux a constaté ce problème sur sa propre image : après avoir mis GitLab à jour vers la version 19.3.6 le 22 octobre, son Ruby distinct restait vulnérable. Alpine recommande, pour les installations qui utilisent leur propre Ruby, les versions 3.3.13, 3.4.12 ou 4.0.9, ou une version ultérieure. Alpine précise que son image du 27 octobre comprenait Ruby 3.3.13, tandis que les anciennes balises et les images 19.3.6 antérieures à cette date restaient vulnérables. Alpine Linux
Ce qu’Alpine a rapporté sur l’attaque
Alpine a indiqué qu’un compte nouvellement créé avait envoyé des configurations CI travaillées contre son instance GitLab, alors en version 19.3.4, les 20 et 21 octobre. Les processus de travail ont planté huit fois. Dans quatre cas, l’attaquant a progressé partiellement dans l’exploitation avant que l’étape suivante échoue.
Alpine n’a trouvé aucun indice d’exécution de code, mais n’a pas pu l’exclure. L’organisation a reconstruit son instance et indiqué que ses vérifications n’avaient révélé aucune altération du dépôt aports, des paquets ou des versions publiées le 21 octobre. Ces constats concernent l’instance GitLab d’Alpine.
Qui est concerné par BOD 26-04 ?
CISA indique que la directive BOD 26-04 s’applique aux agences civiles de l’exécutif fédéral américain (FCEB). L’agence encourage les autres organisations à donner la priorité aux vulnérabilités inscrites au KEV.
