Rapid7 transforme la faille 10,0 de GitLab en démonstration produit grandeur nature, trois semaines avant ses résultats

Une expression régulière qui passe tous les contrôles

GitLab▼−5.70% — GitLab, down 5.70 percent today a publié le 12 octobre un correctif hors cycle↗, une mise à jour de sécurité en dehors de son calendrier mensuel habituel, pour la CVE-2026-97229, un dépassement d'entier que l'éditeur a noté 10,0, le maximum de l'échelle de sévérité CVSS ¹². La faille se niche dans le compilateur d'expressions régulières des configurations CI/CD — les pipelines qui construisent et déploient les logiciels — dans les éditions auto-hébergées Community et Enterprise. Elle figurait parmi les 24 vulnérabilités corrigées ce jour-là et est parvenue à GitLab via un rapport de bug bounty déposé sur HackerOne par un chercheur opérant sous le pseudonyme joaxcar ²³.

Un jour plus tard, Rapid7▼−3.59% — Rapid7, down 3.59 percent today annonçait avoir reproduit toute la chaîne d'attaque sur l'image officielle non corrigée 19.4.1 de l'édition Community↗, avec la randomisation de l'espace d'adressage activée ; la même entrée échouait contre la version corrigée 19.4.2 ¹. L'intrusion se fait en deux étapes : une expression régulière forgée dans un fichier de pipeline .gitlab-ci.yml passe la validation de GitLab, puis se recompile sur un chemin de dépôt contenant des caractères UTF-8 ; c'est là qu'un dépassement d'entier dans le moteur Onigmo de Ruby livre le processus à l'attaquant.

Vingt-quatre heures du correctif à l'exploit fonctionnel

Les commandes du système d'exploitation s'exécutent alors sous l'identité de l'utilisateur git, le compte de service sous lequel tourne l'application GitLab ¹. Une preuve de concept publique↗ transforme 248 caractères en plus de 2 Go de code moteur et parvient jusqu'à system() ⁴. GitLab qualifie le bug d'exploitable sans aucune authentification ; la reproduction de Rapid7 exigeait toutefois de pouvoir déposer d'abord ce fichier de configuration, un obstacle qui tombe partout où une instance laisse n'importe qui s'inscrire et ouvrir un projet public ¹.

Code source et identifiants cloud : ce que renferment les serveurs auto-hébergés

Ce qui se trouve derrière ces serveurs explique pourquoi une faille notée 10,0 y attire aussi vite les attaquants : le code source d'une organisation, ses pipelines de construction et les identifiants que ces pipelines utilisent pour accéder aux comptes cloud, selon les mots de Roman Y. Sannikov, coordinateur mondial de la recherche chez iCounter ⁵. GitLab compte plus de la moitié des entreprises du Fortune 100 parmi ses clients ³.

C'est la deuxième faille de sévérité maximale en deux mois pour GitLab. La faille de type « path traversal » de septembre, CVE-2026-85706, avait rejoint le catalogue des vulnérabilités exploitées que tient la CISA, l'agence américaine de cybersécurité, dès le lendemain de sa correction par GitLab, et les chercheurs de watchTowr enregistraient déjà des scans de reconnaissance ³⁶. « Les équipes doivent partir du principe que la fenêtre entre la divulgation et l'exploitation se compte en jours, et non en semaines », a déclaré Sannikov ⁵. Aucune exploitation de la nouvelle faille n'avait été confirmée au 13 octobre ¹.

Une détection livrée le jour même : le baptême du feu de la nouvelle unité

L'angle économique de l'affaire tient au calendrier. Rapid7 Intelligence, l'unité lancée le 2 octobre↗ pour pousser la recherche sur les vulnérabilités directement dans les produits payants, a intégré un contrôle de détection authentifié de cette faille à ses produits Exposure Command, Vulnerability Management et Nexpose dans la même mise à jour de contenu du 13 octobre ¹⁷. Pour les clients payants, c'est la promesse de lancement traduite en code fonctionnel : la recherche rejoint le produit en moins d'un jour après la divulgation publique d'une faille.

La maison mère cotée au Nasdaq a besoin de cette démonstration. Le chiffre d'affaires a reculé de 1,5 % sur un an au deuxième trimestre, clos en juin↗, une deuxième baisse consécutive, et JPMorgan a déclassé le titre à « sous-pondérer » en septembre, avec un objectif de cours de 12 dollars ⁸⁹. Les résultats du troisième trimestre seront publiés le 4 novembre↗ ⁸.

GitLab croît de 21 % pendant que Rapid7 recule

GitLab (NASDAQ : GTLB) cumule croissance et exposition : son chiffre d'affaires a progressé de 21,3 %, à 286,3 millions de dollars, au trimestre clos fin juillet↗, pour une perte nette de 36,8 millions de dollars ¹⁰. GitLab.com est déjà corrigé, et les clients de Dedicated, son offre hébergée à locataire unique, n'ont rien à faire : le préjudice direct frappe les serveurs des clients, pas les comptes de l'éditeur ¹.

Mettre à jour sans attendre, puis guetter deux échéances

Les versions visées par le correctif sont précises : 19.2.8, 19.3.5 et 19.4.2, à installer dès maintenant plutôt qu'au prochain cycle mensuel ¹. Si la mise à jour doit attendre, GitLab conseille de restreindre l'accès anonyme aux projets publics et d'interdire leur création aux utilisateurs non fiables ¹. Sur toute instance restée non corrigée pendant la fenêtre de divulgation, le conseil de M. Sannikov est de faire tourner les secrets et les jetons CI/CD et de passer en revue l'activité des runners et des pipelines depuis la divulgation ⁵.

Deux jalons diront comment cette affaire se termine. Le premier est de savoir si la CVE-2026-97229 rejoint sa sœur de septembre dans le catalogue de la CISA ³⁶. Le second est le 4 novembre : Rapid7 publiera ce jour-là ses résultats du troisième trimestre et devra dire si l'unité Intelligence se reflète dans l'adoption des produits payants ⁸. D'ici là, le risque pèse sur quiconque exploite une instance auto-hébergée oubliée.