Un serveur GitLab auto-hébergé, une seule requête HTTP et un attaquant sans compte : voilà le scénario que GitLab vient de colmater en urgence. Le 10 septembre, l'éditeur a publié les versions 19.3.2, 19.2.6 et 19.1.8 pour corriger une faille de traversée de chemin (path traversal, une navigation hors des dossiers autorisés) dans son API de commits, notée 10 sur 10 sur l'échelle CVSS, la note standard de gravité des failles. Le lendemain, l'agence américaine CISA l'inscrivait à sa liste des failles activement exploitées : des attaques réelles sont en cours.
Si tu administres un GitLab maison (l'outil de gestion de code source que beaucoup d'équipes installent sur leurs propres serveurs, en alternative ouverte à GitHub), la consigne tient en une phrase : mets à jour maintenant. GitLab.com, la version hébergée par l'éditeur, tourne déjà sur le code corrigé, et les clients GitLab Dedicated n'ont rien à faire. Ce sont les instances auto-gérées qui sont en première ligne.
Ce qui s'est passé, date par date
Le 10 septembre, GitLab publie une mise à jour de sécurité d'urgence pour les branches 19.3, 19.2 et 19.1 : les versions 19.3.2, 19.2.6 et 19.1.8, disponibles en Community Edition (la gratuite) comme en Enterprise Edition (la payante). Au total, 18 failles sont corrigées, dont deux critiques. Le lendemain, la société de surveillance WatchTowr rapportait déjà des sondes d'attaque balayant Internet, moins de 24 heures après la publication du correctif.
Le même jour, la CISA ajoutait le CVE-2026-85706 au catalogue KEV, la liste rouge des failles confirmées piratées.
Notre article sur les 4 failles du catalogue KEV explique le fonctionnement de cette liste et pourquoi une inscription y déclenche l'urgence.
GitLab : documentation officielle du correctif de sécurité, source de la capture.
Comment la faille fonctionne, en clair
La faille se niche dans l'API des commits, l'interface par laquelle les outils interrogent l'historique d'un dépôt de code. À cause d'un contrôle de chemin insuffisant et d'une vérification d'identité manquante, un attaquant qui n'a même pas de compte peut envoyer une requête HTTP bien construite et lire des fichiers au choix sur le serveur, sous certaines conditions. GitLab a attribué au bug la note CVSS maximale de 10,0 : attaque à distance, sans authentification, avec un impact maximal sur la confidentialité et l'intégrité des données.
Concrètement, l'attaquant peut viser des fichiers de configuration, des variables d'environnement, des sauvegardes de base de données ou des jetons d'accès stockés sur la machine. C'est le genre de butin qui ouvre une porte vers une prise de contrôle complète de l'outil. La faille a été signalée par le chercheur s3ntago via le programme de récompenses HackerOne de GitLab.
✉️ Un moment, avant de continuer la lecture…
Le rendez-vous du dimanche : un extrait de la chronique « Un pavé dans la tech », les 4-5 infos qui comptent et un aperçu de la semaine à venir. Inscription gratuite, désinscription en un clic.
Le lot complet : 18 failles d'un coup
La traversée de chemin n'est pas la seule bouchée du jour. GitLab corrige aussi une seconde faille critique, CVE-2026-87719 (note 9,9), réservée à l'édition Enterprise : un utilisateur connecté peut, sous certaines conditions, récupérer des configurations et des identifiants sensibles via une souscription GraphQL, un canal temps réel de l'API. Suivent une faille d'exécution de code à distance (CVE-2026-88765, note 8,5) déclenchée en important un export de projet piégé, toujours sur EE, et six failles de gravité haute : vol de variables CI/CD protégées, scripts inter-sites (injecter du code dans une page affichée) et dénis de service.
À faire ce soir : vérifier ta version
La recommandation officielle est sans détour : toute installation auto-gérée qui tourne entre les versions 18.7 et 19.1.7, 19.2.0 et 19.2.5, ou 19.3.0 et 19.3.1 doit passer immédiatement à 19.1.8, 19.2.6 ou 19.3.2 selon sa branche. Détail pratique : le correctif embarque des migrations de base de données, donc prévois une coupure de service si ton GitLab tourne sur une seule machine ; les installations multi-nœuds peuvent suivre la procédure sans interruption.
Une note parfaite et des sondes d'attaque dès le lendemain : ce n'est pas le moment de repousser la mise à jour à lundi. Vérifie ta version, lance l'upgrade, et dors tranquille.
Sources
GitLab : la note de version officielle du 10 septembre 2026, avec le détail des 18 failles corrigées.
CISA : l'inscription du CVE-2026-85706 au catalogue des failles activement exploitées.
SecurityWeek : le récit des premières sondes d'attaque observées par WatchTowr le lendemain du correctif.
—
Recherche, relecture et illustration assistées par IA. Le contenu reflète le travail éditorial de la rédaction.
No comments yet