Une faille critique dans GitLab met en danger des millions de serveurs

La société de sécurité SlowMist met en garde contre une vulnérabilité critique dans GitLab CE et EE, qui permet à des attaquants non authentifiés de lire des fichiers arbitraires sur les serveurs concernés. La faille, située dans l’API Repository Commits, reçoit le score CVSS maximal de 10,0 et est enregistrée sous la référence CVE-2026-85706.

En bref :

• Vulnérabilité critique de traversée de chemin dans GitLab, avec un score CVSS de 10,0
• GitLab a publié des correctifs de sécurité pour les versions 19.1.8, 19.2.6 et 19.3.2
• Les utilisateurs doivent mettre à jour immédiatement et vérifier les journaux à la recherche d’activités suspectes

Quelles versions sont vulnérables

La vulnérabilité touche plusieurs versions de GitLab. Sont concernées les versions 18.7 à 19.1.7, les versions 19.2 à 19.2.5 et les versions 19.3 à 19.3.1.

GitLab a publié des correctifs de sécurité. Les utilisateurs d’installations GitLab auto-hébergées doivent passer immédiatement à la version 19.1.8, 19.2.6 ou 19.3.2, selon leur version actuelle.

Ce que vous devez faire

SlowMist conseille à tous les utilisateurs concernés de mettre à jour immédiatement. Après l’installation du correctif, il est essentiel de passer en revue les journaux du serveur à la recherche de tentatives d’accès suspectes et d’identifiants potentiellement divulgués.

La nature de la vulnérabilité signifie que des attaquants ont éventuellement pu consulter des fichiers sensibles avant l’installation du correctif. Il est donc important de rechercher activement des traces d’exploitation et de réinitialiser les mots de passe et les jetons stockés sur les serveurs.