GitLab

🗓️ Contexte Source : BleepingComputer, publié le 1er novembre 2026. L’article rapporte une tentative d’attaque contre l’infrastructure GitLab du projet open-source Alpine Linux, survenue les 20 et 21 octobre 2026. 🎯 Nature de l’attaque Des attaquants ont ciblé CVE-2026-97229, une vulnérabilité de type integer overflow de sévérité maximale affectant le compilateur d’expressions régulières CI/CD Onigmo, intégré à Ruby et bundlé dans GitLab. Cette faille permet à des attaquants non authentifiés d’exécuter du code arbitraire sur le serveur en soumettant une expression régulière spécialement forgée dans une configuration de pipeline CI/CD. ...

🔍 Contexte Le 28 octobre 2026, l’équipe Alpine Linux a publié un post-mortem détaillé sur son site officiel (alpinelinux.org) concernant une tentative d’exploitation de leur instance GitLab entre le 20 et le 21 octobre 2026. 🛡️ La vulnérabilité CVE-2026-97229 est une vulnérabilité critique (CVSS 10.0) affectant la manière dont GitLab évalue les expressions régulières dans les configurations CI. Le bug sous-jacent réside dans Onigmo, le moteur d’expressions régulières intégré à Ruby. GitLab a publié des correctifs le 12 octobre 2026, mais le fix nécessite un patch spécifique à Ruby, non inclus dans les builds Ruby standards. Ruby upstream a publié le correctif le 23 octobre dans les versions 3.3.13, 3.4.12 et 4.0.9. ...

📰 Contexte Source : The Hacker News, publié le 22 octobre 2026. GitLab a déployé le 21 octobre 2026 des correctifs pour une vulnérabilité critique affectant l’ensemble de ses installations auto-hébergées (self-managed). 🔴 Vulnérabilité principale : CVE-2026-110264 CVE-2026-110264 est notée CVSS 10.0 (score maximal). Elle résulte d’un débordement d’entier (integer overflow) dans le moteur de compilation d’expressions régulières Onigmo (moteur Ruby intégré aux packages GitLab). Elle permet à un utilisateur non authentifié d’exécuter du code arbitraire sur le serveur. ...

🔐 Contexte Le 21 octobre 2026, GitLab a publié des versions correctives critiques pour GitLab Community Edition (CE) et Enterprise Edition (EE) : 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 et 18.11.13. Ces versions corrigent 12 vulnérabilités de sécurité dont une critique de score CVSS 10.0. 🚨 Vulnérabilité critique : CVE-2026-110264 (CVSS 10.0) Integer Overflow dans le compilateur de Regular Expression (Onigmo) permettant à un utilisateur non authentifié d’exécuter du code arbitraire sur le serveur GitLab via une expression régulière spécialement forgée. ...

📰 Source : BleepingComputer — Date : 12 octobre 2026 GitLab a publié un avis de sécurité urgent concernant CVE-2026-97229, une vulnérabilité de sévérité maximale (CVSS non précisé mais qualifié de critique) affectant le compilateur d’expressions régulières CI/CD de sa plateforme DevSecOps. 🔍 Nature de la vulnérabilité La faille est causée par un débordement d’entier (integer overflow) dans le moteur qui analyse, compile et évalue les expressions régulières dans les fichiers de configuration de pipelines CI/CD. Elle permet à un attaquant non authentifié d’exécuter du code arbitraire sur le serveur GitLab via une expression régulière spécialement forgée dans une configuration CI/CD, en raison d’une validation insuffisante. ...

📰 Source : BleepingComputer, publié le 11 septembre 2026 par Sergiu Gatlan. L’article couvre la divulgation et le correctif de deux vulnérabilités critiques affectant la plateforme GitLab. 🔴 Vulnérabilité principale — CVE-2026-85706 (sévérité maximale) Une faille de path traversal a été identifiée dans l’API repository commits de GitLab. Elle résulte d’un confinement de chemin inapproprié et d’une absence d’enforcement d’authentification. Des attaquants non authentifiés peuvent exploiter cette vulnérabilité pour lire des fichiers arbitraires sur les serveurs vulnérables « sous certaines conditions ». La faille a été découverte par le chercheur en sécurité opérant sous le pseudonyme s3ntago via le programme de bug bounty HackerOne de GitLab. ...

🔐 Contexte Le 17 août 2026, GitLab a publié des versions correctives pour ses éditions Community (CE) et Enterprise (EE) : 19.2.4, 19.1.6, 19.0.8 et 18.11.11. Ces versions constituent un patch critique ad-hoc destiné à corriger des vulnérabilités de haute et critique sévérité. La source est la documentation officielle GitLab. 🚨 Vulnérabilités corrigées CVE-2026-19478 — Injection de code via directive GraphQL (Critique) CVSS : 9.4 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:H) Permet à un utilisateur non authentifié de modifier ou supprimer à distance des projets publics et des données utilisateur via une directive GraphQL Versions impactées : toutes versions depuis 18.2 jusqu’à 18.11.11, 19.0 avant 19.0.8, 19.1 avant 19.1.6, 19.2 avant 19.2.4 Signalé par hiimguardian via le programme HackerOne CVE-2026-19650 — CSRF dans le gestionnaire de requêtes multiplex GraphQL (Élevé) CVSS : 7.1 (CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:L) Permet à un utilisateur non authentifié d’exécuter des mutations via des requêtes GET en raison d’une validation incorrecte dans le gestionnaire de requêtes multiplex GraphQL Mêmes versions impactées que ci-dessus Signalé par kreep via le programme HackerOne 🛠️ Périmètre d’impact Toutes les installations self-managed GitLab CE/EE sont concernées GitLab.com et GitLab Dedicated sont déjà patchés, aucune action requise pour leurs clients Tous les types de déploiement sont affectés (omnibus, source, helm chart, etc.) 📋 Type d’article Il s’agit d’un patch de sécurité officiel publié par GitLab, dont le but principal est d’informer les administrateurs d’instances self-managed de la disponibilité de correctifs critiques et de les inciter à mettre à jour immédiatement. ...

🗓️ Contexte Article publié le 13 mars 2026 par Dalia Nasser sur ebuildersecurity.com. Le 12 mars 2026, un acteur malveillant se désignant ByteToBreach a publié sur plusieurs forums web ouverts et plateformes de partage de fichiers ce qu’il présente comme le code source complet de la plateforme e-gouvernement suédoise, obtenu après compromission de CGI Sverige AB, filiale suédoise du groupe CGI, prestataire IT gérant des infrastructures numériques critiques pour le gouvernement suédois. ...

Selon BleepingComputer, la Cybersecurity and Infrastructure Security Agency (CISA) des États-Unis a ordonné aux agences gouvernementales de corriger leurs systèmes face à une vulnérabilité GitLab vieille de cinq ans, activement exploitée dans des attaques. ⚠️ La CISA cible spécifiquement des déploiements GitLab au sein des systèmes gouvernementaux et exige l’application de correctifs pour contrer l’exploitation en cours. L’article souligne le caractère ancien de la faille (cinq ans) et le fait qu’elle fait l’objet d’exploits actifs, ce qui motive l’ordre de remédiation auprès des agences. ...

Source et contexte — Truffle Security Co. publie un billet invité de Luke Marshall détaillant un scan exhaustif d’environ 5,6 millions de dépôts publics GitLab Cloud (initialisé le 10/09/2025) à l’aide de TruffleHog, qui a permis d’identifier 17 430 secrets « live » vérifiés et de récolter plus de 9 000 $ en primes, pour un coût d’infrastructure d’environ 770 $ et une durée d’exécution d’un peu plus de 24 h. ...