CVE-2026-97229 : Vulnérabilité de débordement d'entier dans GitLab Community Edition et Enterprise Edition

Selon Help Net Security, CVE-2026-97229 est une vulnérabilité de débordement d'entier dans le compilateur d'expressions régulières CI/CD de GitLab, et elle affecte à la fois GitLab Community Edition (CE) et Enterprise Edition (EE)[2]. Le média rapporte que GitLab a attribué à la vulnérabilité une note CVSS de 10,0, la plus élevée possible.[2]Rapid7 déclare qu'elle a reproduit indépendamment l'exécution de code arbitraire sur une image GitLab CE officielle et non corrigée[3]. Ses tests ont révélé qu'un attaquant doit d'abord être en mesure de valider un fichier de configuration CI/CD malveillant[3] pour un projet public. SecurityOnline rapporte que Censys estime que 25 766 hôtes accessibles depuis Internet et 79 224 propriétés web exécutent actuellement des versions vulnérables.[4]Alpine Linux déclare que les 20 et 21 octobre, un compte nouvellement enregistré a envoyé des configurations CI élaborées[5] à son instance GitLab non corrigée, qui a fait planter les processus GitLab worker 8 fois.[5] Le projet rapporte qu'il a reconstruit l'instance GitLab à partir de zéro[5] car il ne pouvait pas exclure l'exécution de code. Il déclare également que aucune clé de signature n'a été exposée.[5]Alpine avertit également que la mise à jour de GitLab seul ne suffira pas à corriger la faille : « Le correctif n'est pas dans le code propre de GitLab mais dans un correctif pour Ruby, que GitLab applique uniquement dans ses packages officiels. »[5]Selon HOL, les packages Linux de GitLab et les images officielles sont corrigés à partir des versions 19.4.2, 19.3.5 et 19.2.8[1]. Les compilations personnalisées nécessitent également Ruby 3.3.13, 3.4.12 ou 4.0.9.[1] HOL rapporte que la CISA a fixé une date limite du 1er nov 2026 pour les agences fédérales américaines et le triage médico-légal requis.[1]