# CVE-2026-97229 — GitLab : exécution de code via expression régulière malveillante en CI/CD

- Link: https://dpioch.aristeecampus.org/veille/veille-v2-f263c4e1e52926b4585cd822/
- Published: 2026-11-11T23:36:03+01:00
- Author: Admin

Threat Intel · Alerte de sécurité

## L'alerte

CVE-2026-97229 — GitLab

GitLab Community Edition et Enterprise Edition contiennent une vulnérabilité de 
dépassement d'entier dans le compilateur d'expressions régulières CI/CD permettant
à un utilisateur non authentifié d'exécuter du code arbitraire via une expression
régulière spécialement construite dans une configuration CI/CD, due à une validation
insuffisante. Les versions 19.2 avant 19.2.8, 19.3 avant 19.3.5 et 19.4 avant 19.4.2
sont affectées.

 Éditeur GitLab

 Produit GitLab

 Publication 13/10/2026

 Gravité CVSS Critique

 Priorité Critique — exploitation connue

10,0/ 10 — CVSS 3.1 · Critique

`CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H`

 * Exploitation connue — CISA KEV

## La faille

Le compilateur d'expressions régulières utilisé dans les configurations CI/CD de
GitLab présente une validation insuffisante des expressions régulières permettant
un dépassement d'entier.

## Ce qu'elle permet à un attaquant

 * Un utilisateur non authentifié peut exécuter du code arbitraire sur le serveur
   GitLab en envoyant une expression régulière spécialement construite via une configuration
   CI/CD.

**10,0**score CVSS 3.1

**1**produit concerné

**16 j**entre la publication et l’inscription au KEV

**01/11/2026**échéance CISA (agences fédérales américaines)

## Qui est concerné

GitLab Community Edition et Enterprise Edition versions 19.2 avant 19.2.8, 19.3 
avant 19.3.5, et 19.4 avant 19.4.2.

  |  Produit |  Versions |  
   |  GitLab |  19.2 → < 19.2.8, 19.3 → < 19.3.5, 19.4 → < 19.4.2 |

## État de l'exploitation

Cette vulnérabilité a été ajoutée au catalogue CISA des vulnérabilités connues comme
exploitées le 29 octobre 2026.

## Chronologie

 1. 13/10/2026Publication de la vulnérabilité
 2. 29/10/2026Ajout au catalogue CISA KEV
 3. 01/11/2026Échéance fixée par la CISA aux agences fédérales américaines

## Que faire

 1. Mettre à jour les versions affectées vers les versions 19.2.8, 19.3.5, 19.4.2 ou
    ultérieures.

Termes utiles

  CI/CD Intégration continue et déploiement continu, ensemble de pratiques et d'outils
permettant d'automatiser les phases de compilation, test et déploiement d'applications.
Dépassement d'entier Débordement arithmétique survenant lorsqu'une opération produit
un résultat dépassant la plage représentable par le type de données entier, pouvant
mener à un comportement imprévisible ou exploitable.

## Sources

![Sceau de la CISA](https://dpioch.aristeecampus.org/wp-content/uploads/2026/10/
cisa-5a454c90bac7.png)

Présence et version locales non établies : vérifier l'inventaire avant de conclure
à une exposition.

 * [Catalogue CISA KEV](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search_api_fulltext=CVE-2026-97229)
 * [Enregistrement CVE officiel (CNA GitLab)](https://www.cve.org/CVERecord?id=CVE-2026-97229)